Packj - инструментариум за идентифициране на злонамерени библиотеки в Python и JavaScript

Разработчиците на платформата Packj, която анализира сигурността на библиотеките, публикуваха отворен набор от инструменти за команден ред, който им позволява да идентифицират рискови структури в пакети, които могат да бъдат свързани с внедряването на злонамерена дейност или наличието на уязвимости, използвани за извършване на атаки по проекти, използващи въпросните пакети („верига за доставки“). Проверката на пакети се поддържа на езиците Python и JavaScript, хоствани в директориите PyPi и NPM (те също планират да добавят поддръжка за Ruby и RubyGems този месец). Кодът на инструментариума е написан на Python и се разпространява под лиценза AGPLv3.

По време на анализа на 330 хиляди пакета с помощта на предложените инструменти в хранилището на PyPi бяха идентифицирани 42 злонамерени пакета със задни вратички и 2.4 хиляди рискови пакета. По време на проверката се извършва статичен анализ на кода, за да се идентифицират характеристиките на API и да се оцени наличието на известни уязвимости, отбелязани в базата данни на OSV. Пакетът MalOSS се използва за анализ на API. Кодът на пакета се анализира за наличието на типични шаблони, често използвани в зловреден софтуер. Шаблоните са изготвени въз основа на проучване на 651 пакета с потвърдена злонамерена активност.

Той също така идентифицира атрибути и метаданни, които водят до повишен риск от злоупотреба, като например изпълнение на блокове чрез „eval“ или „exec“, генериране на нов код по време на изпълнение, използване на обфусцирани кодови техники, манипулиране на променливи на средата, нецелеви достъп до файлове, достъп до мрежови ресурси в инсталационни скриптове (setup.py), използване на typequatting (присвояване на имена, подобни на имената на популярни библиотеки), идентифициране на остарели и изоставени проекти, посочване на несъществуващи имейли и уебсайтове, липса на публично хранилище с код.

Освен това можем да отбележим идентифицирането от други изследователи по сигурността на пет злонамерени пакета в хранилището на PyPi, които изпращат съдържанието на променливите на средата към външен сървър с очакване да откраднат токени за AWS и системи за непрекъсната интеграция: loglib-модули (представени като модули за легитимната библиотека loglib), pyg-modules, pygrata и pygrata-utils (рекламирани като добавки към легитимната библиотека pyg) и hkg-sol-utils.

Източник: opennet.ru