V úložisku PyPI sa našlo niekoľko škodlivých typosquatovaných Python knižníc

Až osem balíkov Python, ktoré boli stiahnuté viac ako 30 000-krát, bolo odstránených z portálu PyPI, pretože obsahovali škodlivý kód, čo opäť poukazuje na to, ako sa úložiská softvérových balíkov vyvíjajú na obľúbený cieľ útokov na dodávateľský reťazec.

„Nedostatok moderovania a automatizovaných bezpečnostných kontrol vo verejných softvérových úložiskách umožňuje aj neskúseným útočníkom ich použiť ako platformu na šírenie malvéru, či už prostredníctvom preklepu, zámeny závislosti alebo jednoduchých útokov sociálneho inžinierstva,“ výskumníci JFrog Andrey Polkovnichenko, Omer Kaspi a Shachar. Menashe povedal vo štvrtok.

PyPI, skratka pre Python Package Index, je oficiálnym softvérovým úložiskom tretích strán pre Python, pričom nástroje správcu balíkov ako pip sa naň spoliehajú ako na predvolený zdroj pre balíčky a ich závislosti.

Príslušné balíky Pythonu, o ktorých sa zistilo, že sú zahmlené pomocou kódovania Base64, sú uvedené nižšie –

  • pytagora (nahral leonora123)
  • pytagora2 (nahral leonora123)
  • noblesse (nahral xin1111)
  • genesisbot (nahral xin1111)
  • sú (nahral xin1111)
  • trpieť (nahrané trpením)
  • noblesse2 (nahral(a) trpieť)
  • noblessev2 (odovzdané trpením)

Vyššie uvedené balíky by sa mohli zneužiť na to, aby sa stali vstupným bodom pre sofistikovanejšie hrozby, čo by útočníkovi umožnilo spustiť vzdialený kód na cieľovom počítači, zhromaždiť systémové informácie, vykradnúť informácie o kreditných kartách a heslá automaticky uložené v prehliadačoch Chrome a Edge a dokonca ukradnúť. Rozdeľte overovacie tokeny na vydávanie sa za obeť.

PyPI je sotva sám medzi repozitármi softvérových balíkov, ktoré sa objavili ako potenciálny útočný priestor pre votrelcov, so škodlivými balíkmi odhalenými v npm a RubyGems vybavených schopnosťami, ktoré by mohli potenciálne narušiť celý systém alebo slúžiť ako cenný odrazový bod pre hlbšie ponorenie sa do sieť obete.

Minulý mesiac Sonatype a Vdoo odhalili preklepnuté balíky v PyPi, o ktorých sa zistilo, že sťahujú a spúšťajú skript shellu užitočného zaťaženia, ktorý na oplátku získava kryptomineru tretej strany, ako napríklad T-Rex, ubqminer alebo PhoenixMiner na ťažbu Etherea a Ubiq na obeti. systémov.

„Pokračujúce objavovanie škodlivých softvérových balíkov v populárnych úložiskách, ako je PyPI, je alarmujúcim trendom, ktorý môže viesť k rozsiahlym útokom na dodávateľský reťazec,“ povedal CTO JFrog Asaf Karas. “Schopnosť útočníkov používať jednoduché techniky zahmlievania na zavádzanie malvéru znamená, že vývojári musia byť znepokojení a ostražití. Ide o systémovú hrozbu a je potrebné ju aktívne riešiť na niekoľkých úrovniach, a to tak zo strany správcov softvérových úložísk, ako aj zo strany vývojárov.” .”

“Na strane vývojárov by mali byť preventívne opatrenia, ako je overovanie podpisov knižníc a využívanie automatizovaných nástrojov zabezpečenia aplikácií, ktoré skenujú náznaky podozrivého kódu zahrnutého v projekte, neoddeliteľnou súčasťou každého CI/CD potrubia. Automatizované nástroje ako napr. tieto môžu upozorniť, keď sa používajú paradigmy škodlivého kódu,“ dodal Karas.