En el catálogo de PyPI (Python Package Index) se han detectado tres bibliotecas que contienen código malicioso. Antes de que se identificaran los problemas y se eliminaran del catálogo, los paquetes se habían descargado casi 15,000 veces en total.
Los paquetes dpp-client (10,194 descargas) y dpp-client1234 (1,536 descargas) se distribuyeron desde febrero e incluían código para enviar el contenido de las variables de entorno, que podrían incluir, por ejemplo, claves de acceso, tokens o contraseñas para sistemas de integración continua o entornos en la nube como AWS. Los paquetes también enviaban a un host externo una lista con el contenido de los directorios "/home", "/mnt/mesos/" y "mnt/mesos/sandbox".
El paquete aws-login0tool (3,042 descargas) fue subido al repositorio de PyPI el 1 de diciembre e incluía código para descargar y ejecutar una aplicación troyana que toma el control de los hosts que operan con Windows. Al elegir el nombre del paquete, se calculó que las teclas "0" y "-" están cerca y hay una probabilidad de que el desarrollador teclee "aws-login0tool" en lugar de "aws-login-tool".
Los paquetes problemáticos fueron identificados a través de un simple experimento, en el que se utilizó la herramienta Bandersnatch para descargar una parte de los paquetes de PyPI (alrededor de 200,000 de un total de 330,000 paquetes en el repositorio), después de lo cual se usó la herramienta grep para extraer y analizar los paquetes que mencionaban "import urllib.request" en el archivo setup.py, comúnmente utilizado para enviar solicitudes a hosts externos.
Fuente: opennet.ru
