Im Katalog PyPI (Python Package Index) wurden drei Bibliotheken mit schädlichem Code identifiziert. Vor der Entdeckung der Probleme und der Löschung aus dem Katalog wurden die Pakete insgesamt fast 15.000 Mal heruntergeladen.
Die Pakete dpp-client (10.194 Downloads) und dpp-client1234 (1.536 Downloads) wurden seit Februar verteilt und enthielten Code, der dazu diente, die Inhalte von Umgebungsvariablen zu übermitteln, die beispielsweise Zugangsschlüssel, Tokens oder Passwörter für kontinuierliche Integrationssysteme oder Cloud-Umgebungen wie AWS enthalten konnten. Die Pakete sendeten auch eine Liste der Inhalte der Verzeichnisse "/home", "/mnt/mesos/" und "mnt/mesos/sandbox" an einen externen Host.
Das Paket aws-login0tool (3.042 Downloads) wurde am 1. Dezember im PyPI-Repository veröffentlicht und enthielt Code zum Herunterladen und Ausführen einer Trojaner-Anwendung zur Übernahme der Kontrolle über Hosts, die unter Windows betrieben werden. Bei der Wahl des Paketnamens wurde berücksichtigt, dass die Tasten "0" und "-" nah beieinander liegen und die Wahrscheinlichkeit besteht, dass ein Entwickler "aws-login0tool" anstelle von "aws-login-tool" eingibt.
Die problematischen Pakete wurden im Rahmen eines einfachen Experiments identifiziert, bei dem mit dem Tool Bandersnatch ein Teil der Pakete von PyPI (etwa 200.000 von 330.000 Paketen im Repository) heruntergeladen wurde. Anschließend wurden mit dem Tool grep die Pakete herausgefiltert und analysiert, die in der Datei setup.py den Aufruf "import urllib.request" erwähnen, der üblicherweise verwendet wird, um Anfragen an externe Hosts zu senden.
Quelle: opennet.ru
