PyPI (Python Package Index) kataloogis avastati kolm raamatukogu, mis sisaldavad kahjulikku koodi. Probleemide avastamiseni ja kataloogist eemaldamiseni suudeti pakette kokku laadida peaaegu 15 000 korda.
Pakette dpp-client (10194 laadimist) ja dpp-client1234 (1536 laadimist) levitati alates veebruarist ning need sisaldasid koodi, mis saatis keskkonna muutujaid, mis võisid sisaldada näiteks juurdepääsuvõtmeid, token'e või paroolide süsteemide jaoks, mis on seotud pideva integreerimise või pilvekeskkondadega nagu AWS. Pakettide kaudu saadeti ka välistesse hostidesse loend kaustade sisu, nagu "/home", "/mnt/mesos/" ja "mnt/mesos/sandbox".
Pakett aws-login0tool (3042 laadimist) oli PyPI hoidlas alates 1. detsembrist ja sisaldas koodi troojalase rakenduse laadimiseks ja käivitamiseks, et saada kontroll Windowsi operatsioonisüsteemidega hostide üle. Paketi nime valimisel võeti arvesse, et klahvid "0" ja "-" asuvad lähedal ning on tõenäoline, et arendaja kirjutab "aws-login0tool" asemel "aws-login-tool".
Katkised paketid tuvastati lihtsa eksperimendi käigus, mille käigus laaditi Bandersnatch utiliidi abil alla osa PyPI pakettidest (umbes 200 000 330 000 paketti registris), mille järel tõsteti grep utiliidi abil esile ja analüüsiti pakette, mille setup.py failis mainiti kõne «import urllib.request», mida tavaliselt kasutatakse päringute saatmiseks välistele hostidele.
Allikas: opennet.ru
