Packj — инструменти за откриване на злонамерени библиотеки на Python и JavaScript

Разработчиците на платформата Packj, която анализира сигурността на библиотеките, публикуваха отворен инструментариум за команден ред, позволяващ откриването на рискови конструкции в пакетите, които могат да бъдат свързани с реализиране на злонамерена активност или наличие на уязвимости, използвани за атаки на проекти, които използват разглежданите пакети ("supply chain"). Поддържа се проверка на пакети на Python и JavaScript, разположени в директориите PyPi и NPM (в този месец също се планира добавяне на поддръжка за Ruby и RubyGems). Кодът на инструментариума е написан на Python и се разпространява под лиценз AGPLv3.

По време на анализа на 330 хиляди пакета с помощта на предложеното инструментариум в репозитория PyPi бяха открити 42 злонамерени пакета с бекдори и 2.4 хиляди рискови пакета. В процеса на обследване се извършва статичен анализ на кода за откриване на характеристиките на API и се оценява наличието на известни уязвимости, отбелязани в БД OSV. За анализа на API се използва пакетът MalOSS. Кодът на пакетите се анализира за наличие на типични шаблони, обикновено използвани в злонамерен софтуер. Шаблоните са подготовени на база проучване на 651 пакета с потвърдена злонамерена активност.

Също така се откриват атрибути и метаданни, водещи до повишен риск от нецелево използване, като изпълнение на блокове чрез "eval" или "exec", генериране на нов код по време на работа, използване на техники за заплитане и скриване на кода (obfuscated), манипулации с променливи на околната среда, нецелеви достъп до файлове, достъп до мрежови ресурси в сценарии за инсталация (setup.py), използване на type squatting (присвояване на имена, сходни с имената на популярни библиотеки), откриване на остарели и изоставени проекти, посочване на невалидни имейли и сайтове, отсъствие на публично хранилище с код.

Допълнително може да се отбележи откритие от други изследователи на сигурността на пет злонамерени пакета в репозитория PyPi, които изпращали на външен сървър съдържание на променливи на околната среда с цел кражба на токени за AWS и системи за непрекъсната интеграция: loglib-modules (представяна като модули към легитимната библиотека loglib), pyg-modules, pygrata и pygrata-utils (представяни като допълнения към легитимната библиотека pyg) и hkg-sol-utils.

Източник: opennet.ru