Trois bibliothèques contenant du code malveillant ont été identifiées dans le catalogue PyPI (Python Package Index). Avant la détection des problèmes et leur suppression du catalogue, les paquets avaient été téléchargés presque 15 000 fois au total.
Les paquets dpp-client (10 194 téléchargements) et dpp-client1234 (1 536 téléchargements) ont été diffusés depuis février et contenaient du code pour envoyer le contenu des variables d'environnement qui pouvaient inclure des clés d'accès, des jetons ou des mots de passe pour des systèmes d'intégration continue ou des environnements cloud comme AWS. Les paquets envoyaient également à un hôte externe une liste contenant le contenu des répertoires «/home», «/mnt/mesos/» et «mnt/mesos/sandbox».
Le paquet aws-login0tool (3 042 téléchargements) a été publié dans le dépôt PyPI le 1er décembre et incluait du code pour télécharger et exécuter une application trojan destinée à prendre le contrôle des hôtes fonctionnant sous Windows. En choisissant le nom du paquet, il a été prévu que les touches «0» et «-» sont proches et qu'il y a des chances pour que le développeur tape «aws-login0tool» au lieu de «aws-login-tool».
Les paquets problématiques ont été identifiés lors d'une simple expérience, où une partie des paquets PyPI (environ 200 000 sur 330 000 paquets dans le dépôt) a été téléchargée à l'aide de l'outil Bandersnatch, après quoi des paquets ont été filtrés et analysés avec l'outil grep, dans lesquels il était fait mention d'un appel «import urllib.request» dans le fichier setup.py, généralement utilisé pour envoyer des requêtes à des hôtes externes.
Source : opennet.ru
