Публикуван е анализатор, който откри 200 злонамерени пакета в NPM и PyPI

Фонд OpenSSF (Open Source Security Foundation), основан от организацията Linux Foundation с цел да повиши сигурността на отворения софтуер, представи отворен проект Package Analysis, развиващ система за анализ наличие на злонамерен код в пакетите. Кодът на проекта е написан на езика Go и се разпространява под лицензия Apache 2.0. Предварителното сканиране на хранилищата NPM и PyPI с предлагания инструментариум е позволило да бъдат открити над 200 злонамерени пакета, които до момента не са били забелязани.

Основната част от откритите проблемни пакети манипулира с пресичането на имена с вътрешни непублични зависимости на проектите (атаката на dependency confusion) или използват методи за тайпсквотинг (присвояване на имена, подобни на популярни библиотеки), както и предизвикват инсталационни скриптове, които се свързват с външни хостове. Според разработчиците на Package Analysis, голяма част от откритите проблемни пакети вероятно са създадени от изследователи по сигурността, участващи в програми за награди за открития на уязвимости (bug bounty), тъй като изпращаните данни се ограничават до името на потребителя и системата, а действията се извършват явно, без опити да се скрие тяхното поведение.

От пакетите с злонамерена активност се отбелязват:

• PyPI пакет discordcmd, в който е фиксирано изпращането на нетипични заявки към raw.githubusercontent.com, Discord API и ipinfo.io. Указаният пакет е изтеглял код на бекстейдж (backdoor) от GitHub и го е инсталирал в директорията на Windows клиента Discord, след което стартира процес на търсене на токени на Discord в файловата система и ги изпраща на външен Discord сървър, контролиран от атакуващите.
• NPM пакет colorsss, който също се е опитал да пренасочи на външен сървър токени от акаунта в Discord.
• NPM пакет @roku-web-core/ajax — по време на инсталацията е изпращал данни за системата и е стартирал обработчик (reverse shell), който приема външни връзки и изпълнява команди.
• PyPI пакет secrevthree — е стартирал reverse shell при импортиране на определен модул.
• NPM пакет random-vouchercode-generator — след импортиране на библиотеката е изпратил заявка към външен сървър, който е върнал команда и времето, в което нея трябва да бъде изпълнена.

Работата на Package Analysis включва анализ на исходния код на пакетите за изготвяне на мрежови връзки, достъп до файлове и изпълнение на команди. Допълнително се проследява промяната в състоянието на пакетите, за да се установи добавянето на злонамерени кодове в версии на първоначално безобидно софтуерно приложение. За мониторинг на нови пакети в хранилищата и промени в предишно публикувани пакети се използва инструментариумът Package Feeds, който унифицира работата с хранилища като NPM, PyPI, Go, RubyGems, Packagist, NuGet и Crate.

Package Analysis включва три основни компонента, които могат да се използват както в комбинация, така и поотделно:

• Планиращ, който инициира анализ на пакетите въз основа на данни от Package Feeds.
• Анализатор, който непосредствено проверява пакета и оценява поведението му с метода на статичен анализ и динамично проследяване. Проверки се извършват в изолирана среда.
• Зареждач, който поставя резултатите от анализа в хранилище BigQuery.

Източник: opennet.ru