PyPI спря регистрацията на нови потребители и проекти поради изблик на вредоносни публикации

Репозиторият на Python пакетите PyPI (Python Package Index) временно забрани регистрацията на нови потребители и създаването на нови проекти поради продължаваща масова загрузка на вредоносни пакети в ход на автоматизирана атака. Блокировката беше въведена след като на 26 и 27 март в репозитория бяха качени 566 пакета с вредоносен код, стилизирани като 16 популярни Python библиотеки.

Имената на пакетите са съставени с използване на тайпсквотинг, т.е. назначаване на подобни имена, които се различават с отделни символи, например, temsorflow вместо tensorflow, requyests вместо requests, asyincio вместо asyncio и т.н. При провеждане на подобни атаки, злоумышлениците разчитат на невнимателни потребители, които са направили правописна грешка или не са забелязали разликите в името при търсенето или при преминаването по линк от форуми и чатове, където злодеите оставят измамни инструкции.

Вредоносните пакети са базирани на кода на легитимни библиотеки, в които са вградени отделни изменения, инсталиращи в системата вредоносно софтуер, което изпраща и търси конфиденциални данни и файлове, съдържащи пароли, ключове за достъп, криптовалути, токени и сесийни бисквитки. Вредоносният код се вгражда във файла setup.py, който се изпълнява по време на инсталацията на пакета. По време на активирането, направеното изменение зарежда основни вредоносни компоненти от външен. сървър.

В рамките на два дни, злонамерени лица успяха да качат 29 вредоносни варианта на пакета tensorflow, 26 — BeautifulSoup, 26 — PyGame, 15 — SimpleJson, 38 — Matplotlib, 26 — PyTorch, 67 — CustomTKInter, 28 — selenium, 17 — playwright, 15 — asyncio и 67 — requirements. Освен това, бяха разкрити отделни случаи на фалшифициране на библиотеките requests, py-cord, colorama, capmonstercloudclient, pillow и bip-utils.

Отделно се отбелязва атаката срещу общността Top.gg, която наброява 170 хиляди потребители. В хода на атаката, злонамереният нападател успя да компрометира акаунта в GitHub на един от разработчиците на top.gg, чрез открадване на бисквитките на браузъра. Атакуващият също добави три пакета в репозитория PyPI и регистрира домейни pypihosted.org и pythanhosted.org, на които беше организирано огледало за разпространение на вредоносната зависимост към пакетите.

Чрез хакната потребителска сметка в GitHub-репозиторий на проекта top.gg, в който беше поставена Python-обвивка над API Top.gg, беше направена промяна, добавяща файл requirements.txt. В файла беше публикуван списък на зависимостите, в който под претекста за зареждане на зависимост от огледален сървър имаше линк към злонамерен клон на пакета „colorama“, публикуван на фалшивия домейн pypihosted.org, с надеждата, че разработчиците няма да забележат разликата с легитимния домейн pythonhosted.org, от който обикновено се изтеглят пакети от PyPI.

Източник: opennet.ru