{"id":103932,"date":"2022-05-02T15:37:01","date_gmt":"2022-05-02T13:37:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/opublikovan-analizator-vyyavivshij-200-vredonosnyh-paketov-v-npm-i-pypi"},"modified":"2022-05-02T15:37:01","modified_gmt":"2022-05-02T13:37:01","slug":"opublikovan-analizator-vyyavivshij-200-vredonosnyh-paketov-v-npm-i-pypi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/opublikovan-analizator-vyyavivshij-200-vredonosnyh-paketov-v-npm-i-pypi","title":{"rendered":"Se ha publicado un analizador que identific\u00f3 200 paquetes maliciosos en NPM y PyPI.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
El Fondo OpenSSF (Open Source Security Foundation), formado por la organizaci\u00f3n Linux Foundation y enfocado en aumentar la seguridad del software de c\u00f3digo abierto, ha presentado un proyecto abierto llamado Package Analysis, que desarrolla un sistema de an\u00e1lisis de la presencia de c\u00f3digo malicioso en paquetes. El c\u00f3digo del proyecto est\u00e1 escrito en Go y se distribuye bajo la licencia Apache 2.0. El escaneo preliminar de los repositorios NPM y PyPI utilizando las herramientas propuestas ha permitido identificar m\u00e1s de 200 paquetes maliciosos que previamente no se hab\u00edan detectado. <\/p>\n
La mayor\u00eda de los paquetes problem\u00e1ticos identificados manipulan la intersecci\u00f3n de nombres con dependencias internas no p\u00fablicas de los proyectos (ataque de confusi\u00f3n de dependencias) o utilizan m\u00e9todos de tipado enga\u00f1oso (asignaci\u00f3n de nombres similares a los de bibliotecas populares), as\u00ed como ejecutan scripts durante el proceso de instalaci\u00f3n que hacen llamadas a hosts externos. Seg\u00fan los desarrolladores de Package Analysis, la mayor\u00eda de los paquetes problem\u00e1ticos detectados probablemente fueron creados por investigadores de seguridad que participan en programas de recompensas por vulnerabilidades (bug bounty), ya que los datos enviados se limitan al nombre de usuario y del sistema, y las acciones se ejecutan de forma expl\u00edcita, sin intentar ocultar su comportamiento. <\/p>\n
Se destacan los siguientes paquetes con actividad maliciosa: <\/p>\n
\n
El paquete de PyPI discordcmd, en el cual se ha registrado el env\u00edo de solicitudes inusuales a raw.githubusercontent.com, la API de Discord y ipinfo.io. Este paquete descargaba c\u00f3digo de un backdoor desde GitHub e instalaba en el directorio del cliente de Windows de Discord, despu\u00e9s de lo cual iniciaba un proceso de b\u00fasqueda de tokens de Discord en el sistema de archivos y los enviaba a un servidor de Discord externo, controlado por los atacantes.\n