पैकज - पायथन और जावास्क्रिप्ट में दुर्भावनापूर्ण पुस्तकालयों की पहचान करने के लिए एक टूलकिट

पैकज प्लेटफॉर्म के डेवलपर्स, जो पुस्तकालयों की सुरक्षा का विश्लेषण करते हैं, ने एक ओपन कमांड लाइन टूलकिट प्रकाशित किया है जो उन्हें पैकेजों में जोखिम भरी संरचनाओं की पहचान करने की अनुमति देता है जो दुर्भावनापूर्ण गतिविधि के कार्यान्वयन या हमलों को अंजाम देने के लिए उपयोग की जाने वाली कमजोरियों की उपस्थिति से जुड़े हो सकते हैं। प्रश्नगत पैकेजों ("आपूर्ति श्रृंखला") का उपयोग करने वाली परियोजनाओं पर। पैकेज चेकिंग पायथॉन और जावास्क्रिप्ट भाषाओं में समर्थित है, जिसे PyPi और NPM निर्देशिकाओं में होस्ट किया गया है (वे इस महीने रूबी और रूबीजेम्स के लिए समर्थन जोड़ने की भी योजना बना रहे हैं)। टूलकिट कोड पायथन में लिखा गया है और AGPLv3 लाइसेंस के तहत वितरित किया गया है।

PyPi रिपॉजिटरी में प्रस्तावित टूल का उपयोग करके 330 हजार पैकेजों के विश्लेषण के दौरान, बैकडोर वाले 42 दुर्भावनापूर्ण पैकेज और 2.4 हजार जोखिम भरे पैकेजों की पहचान की गई। निरीक्षण के दौरान, एपीआई सुविधाओं की पहचान करने और ओएसवी डेटाबेस में नोट की गई ज्ञात कमजोरियों की उपस्थिति का मूल्यांकन करने के लिए एक स्थिर कोड विश्लेषण किया जाता है। एपीआई का विश्लेषण करने के लिए MalOSS पैकेज का उपयोग किया जाता है। आमतौर पर मैलवेयर में उपयोग किए जाने वाले विशिष्ट पैटर्न की उपस्थिति के लिए पैकेज कोड का विश्लेषण किया जाता है। पुष्टि की गई दुर्भावनापूर्ण गतिविधि वाले 651 पैकेटों के अध्ययन के आधार पर टेम्पलेट तैयार किए गए थे।

यह उन विशेषताओं और मेटाडेटा की भी पहचान करता है जो दुरुपयोग के बढ़ते जोखिम का कारण बनते हैं, जैसे कि "eval" या "exec" के माध्यम से ब्लॉक निष्पादित करना, रनटाइम पर नया कोड उत्पन्न करना, अस्पष्ट कोड तकनीकों का उपयोग करना, पर्यावरण चर में हेरफेर करना, फ़ाइलों तक गैर-लक्ष्य पहुंच, इंस्टॉलेशन स्क्रिप्ट्स (setup.py) में नेटवर्क संसाधनों तक पहुंच, टाइपस्क्वाटिंग का उपयोग करना (लोकप्रिय पुस्तकालयों के नामों के समान नाम निर्दिष्ट करना), पुरानी और परित्यक्त परियोजनाओं की पहचान करना, गैर-मौजूद ईमेल और वेबसाइटों को निर्दिष्ट करना, कोड के साथ सार्वजनिक भंडार की कमी।

इसके अतिरिक्त, हम PyPi रिपॉजिटरी में पांच दुर्भावनापूर्ण पैकेजों के अन्य सुरक्षा शोधकर्ताओं द्वारा पहचान को नोट कर सकते हैं, जिन्होंने AWS और निरंतर एकीकरण प्रणालियों के लिए टोकन चुराने की उम्मीद के साथ पर्यावरण चर की सामग्री को बाहरी सर्वर पर भेजा था: लॉगलिब-मॉड्यूल (के रूप में प्रस्तुत किया गया) वैध लॉगलिब लाइब्रेरी के लिए मॉड्यूल), pyg-modules , pygrata और pygrata-utils (वैध pyg लाइब्रेरी में अतिरिक्त के रूप में बताए गए) और hkg-sol-utils।

स्रोत: opennet.ru