В каталога с Python пакети PyPI са открити три злонамерени библиотеки

В каталога PyPI (Python Package Index) са установени три библиотеки, съдържащи злонамерен код. Преди откритията и премахването от каталога, пакетите бяха свалени почти 15 хиляди пъти.

Пакетите dpp-client (10194 сваляния) и dpp-client1234 (1536 сваляния) се разпространяваха от февруари и включваха код за изпращане на съдържанието на променливите на средата, които, например, можеха да включват ключове за достъп, токени или пароли за системи за непрекъсната интеграция или облачни среди, като AWS. Пакетите също така изпращаха на външен хост списък със съдържанието на директориите "\/home", "\/mnt\/mesos\/" и "mnt\/mesos\/sandbox".

Пакетът aws-login0tool (3042 сваляния) беше разположен в репозитория PyPI на 1 декември и включваше код за изтегляне и стартиране на троянско приложение за контролиране на хостове, работещи под управлението на Windows. При избора на името на пакета, се направи расчет, че клавишите "0" и "-" са близо и има вероятност разработчикът да напише "aws-login0tool" вместо "aws-login-tool".

Проблемните пакети бяха идентифицирани в рамките на прост експеримент, при който с помощта на утилитата Bandersnatch бяха изтеглени части от пакетите PyPI (около 200 хиляди от 330 хиляди пакета в репозитория), след което с помощта на утилитата grep бяха изолирани и анализирани пакети, в чиито файлове setup.py се споменава извикването "import urllib.request", обикновено използвано за изпращане на заявки към външни хостове.

Източник: opennet.ru