Packj — инструменти за откриване на зловредни библиотеки на езиците Python и JavaScript

Разработчиците на платформата Packj, която анализира сигурността на библиотеките, публикуваха отворен набор от инструменти за команден ред, който позволява откриване на рискови конструкции в пакетите, които могат да бъдат свързани с реализирането на злонамерени дейности или наличието на уязвимости, използвани за извършване на атаки върху проекти, използващи съответните пакети („supply chain“). Поддържа се проверка на пакети на Python и JavaScript, разположени в директориите PyPi и NPM (в този месец също планират да добавят поддръжка за Ruby и RubyGems). Кодът на инструмента е написан на Python и се разпространява под лиценз AGPLv3.

При анализа на 330 хиляди пакета с предложените инструменти в репозитория PyPi бяха открити 42 злонамерени пакета с бекдории и 2.4 хиляди рискови пакета. В процеса на обследване се извършва статичен анализ на кода за откриване на особености в API и се оценява наличието на известни уязвимости, маркирани в БД OSV. За анализа на API се прилага пакет MalOSS. Кодът на пакетите се анализира за наличието на типични шаблони, обикновено използвани в злонамерен софтуер. Шаблоните са подготвени въз основа на изследването на 651 пакета с потвърдена злонамерена активност.

Също така се откриват атрибути и метаданни, които повишават риска от неправомерна употреба, като изпълнение на блокове чрез „eval“ или „exec“, генериране на нов код по време на работа, използване на техники за замъгляване и скриване на код (obfuscated), манипулации с променливи окружения, неправомерен достъп до файлове, достъп до мрежови ресурси в сценарии за инсталация (setup.py), използване на типсквотинг (посочване на имена, подобни на популярни библиотеки), откриване на остарели и изоставени проекти, посочване на невалидни имейли и сайтове, отсъствие на публичен репозиторий с код.

Допълнително може да се отбележи откритие от други изследователи на сигурността на пет злонамерени пакета в репозитория PyPi, които изпращали на външен сървър съдържание на променливи окружения с намерение за кражба на токени за AWS и системи за непрекъсната интеграция: loglib-modules (представени като модули към легитимната библиотека loglib), pyg-modules, pygrata и pygrata-utils (представени като допълнения към легитимната библиотека pyg) и hkg-sol-utils.

Източник: opennet.ru