पैकज - पायथन और जावास्क्रिप्ट में दुर्भावनापूर्ण पुस्तकालयों की पहचान करने के लिए एक टूलकिट

पैकज प्लेटफॉर्म के डेवलपर्स, जो लाइब्रेरी की सुरक्षा का विश्लेषण करते हैं, ने एक ओपन कमांड-लाइन टूलकिट प्रकाशित की है जो आपको पैकेज में जोखिमपूर्ण संरचनाओं की पहचान करने की अनुमति देती है जो दुर्भावनापूर्ण गतिविधि के कार्यान्वयन या उन कमजोरियों की उपस्थिति से जुड़ी हो सकती हैं जिनका उपयोग उन परियोजनाओं पर हमला करने के लिए किया जाता है जो संबंधित पैकेज ("आपूर्ति श्रृंखला") का उपयोग करते हैं। यह PyPi और NPM निर्देशिकाओं में होस्ट किए गए पायथन और जावास्क्रिप्ट पैकेजों की जाँच का समर्थन करता है (वे इस महीने रूबी और रूबीजेम्स के लिए समर्थन जोड़ने की भी योजना बना रहे हैं)। टूलकिट कोड पायथन में लिखा गया है और AGPLv3 लाइसेंस के तहत वितरित किया गया है।

प्रस्तावित टूलकिट का उपयोग करके 330 हज़ार पैकेजों के विश्लेषण के दौरान, PyPi रिपॉजिटरी में बैकडोर वाले 42 दुर्भावनापूर्ण पैकेज और 2.4 हज़ार जोखिम भरे पैकेजों की पहचान की गई। सर्वेक्षण के दौरान, API सुविधाओं की पहचान करने के लिए स्थिर कोड विश्लेषण किया जाता है और OSV DB में नोट की गई ज्ञात कमज़ोरियों की उपस्थिति का आकलन किया जाता है। API का विश्लेषण करने के लिए MalOSS पैकेज का उपयोग किया जाता है। पैकेज कोड का विश्लेषण मैलवेयर में आमतौर पर उपयोग किए जाने वाले विशिष्ट पैटर्न की उपस्थिति के लिए किया जाता है। पुष्टि की गई दुर्भावनापूर्ण गतिविधि वाले 651 पैकेजों के अध्ययन के आधार पर पैटर्न तैयार किए गए हैं।

यह उन विशेषताओं और मेटाडेटा की भी पहचान करता है जो दुरुपयोग के जोखिम को बढ़ाते हैं, जैसे कि "eval" या "exec" के माध्यम से ब्लॉकों को निष्पादित करना, चलते समय नया कोड उत्पन्न करना, अस्पष्ट और छिपी हुई कोड तकनीकों का उपयोग करना, पर्यावरण चर में हेरफेर करना, फ़ाइलों को अनुपयुक्त तरीके से एक्सेस करना, सेटअप स्क्रिप्ट (setup.py) में नेटवर्क संसाधनों तक पहुंचना, टाइपोस्क्वाटिंग (लोकप्रिय पुस्तकालयों के समान नाम निर्दिष्ट करना) का उपयोग करना, अप्रचलित और परित्यक्त परियोजनाओं की पहचान करना, गैर-मौजूद ईमेल और वेबसाइटों को निर्दिष्ट करना, और कोड के साथ सार्वजनिक रिपोजिटरी न होना।

इसके अतिरिक्त, अन्य सुरक्षा शोधकर्ताओं ने PyPi रिपोजिटरी में पांच दुर्भावनापूर्ण पैकेजों की पहचान की है, जो AWS और निरंतर एकीकरण प्रणालियों के लिए टोकन चुराने के प्रयास में पर्यावरण चर की सामग्री को बाहरी सर्वर पर भेजते हैं: loglib-modules (वैध loglib लाइब्रेरी के लिए मॉड्यूल के रूप में प्रस्तुत), pyg-modules, pygrata और pygrata-utils (वैध pyg लाइब्रेरी के ऐड-ऑन के रूप में प्रस्तुत) और hkg-sol-utils.

स्रोत: opennet.ru