PyPI Python पैकेज निर्देशिका में तीन दुर्भावनापूर्ण लाइब्रेरी का पता चला

PyPI (पायथन पैकेज इंडेक्स) निर्देशिका में दुर्भावनापूर्ण कोड वाली तीन लाइब्रेरी की पहचान की गई थी। समस्याओं की पहचान करने और कैटलॉग से हटाने से पहले, पैकेज लगभग 15 हजार बार डाउनलोड किए जा चुके थे।

डीपीपी-क्लाइंट (10194 डाउनलोड) और डीपीपी-क्लाइंट1234 (1536 डाउनलोड) पैकेज फरवरी से वितरित किए गए थे और इसमें पर्यावरण चर की सामग्री भेजने के लिए कोड शामिल था, उदाहरण के लिए, निरंतर एकीकरण सिस्टम तक पहुंच कुंजी, टोकन या पासवर्ड शामिल हो सकते हैं। या AWS जैसे क्लाउड वातावरण। पैकेजों ने बाहरी होस्ट को "/home", "/mnt/mesos/" और "mnt/mesos/sandbox" निर्देशिकाओं की सामग्री वाली एक सूची भी भेजी।

Aws-login0tool पैकेज (3042 डाउनलोड) को 1 दिसंबर को PyPI रिपॉजिटरी में पोस्ट किया गया था और इसमें विंडोज़ चलाने वाले होस्ट का नियंत्रण लेने के लिए ट्रोजन एप्लिकेशन को डाउनलोड करने और चलाने के लिए कोड शामिल था। पैकेज का नाम चुनते समय, गणना इस तथ्य पर की गई थी कि "0" और "-" कुंजी पास-पास हैं और ऐसी संभावना है कि डेवलपर "aws-लॉगिन-टूल" के बजाय "aws-login0tool" टाइप करेगा।

समस्याग्रस्त पैकेजों की पहचान एक सरल प्रयोग के दौरान की गई, जिसमें PyPI पैकेजों का एक हिस्सा (रिपॉजिटरी में 200 हजार पैकेजों में से लगभग 330 हजार) बैंडर्सनैच उपयोगिता का उपयोग करके डाउनलोड किया गया था, जिसके बाद grep उपयोगिता ने उन पैकेजों की पहचान की और उनका विश्लेषण किया जो थे setup.py फ़ाइल में उल्लिखित "import urllib.request" कॉल, आमतौर पर बाहरी होस्ट को अनुरोध भेजने के लिए उपयोग की जाती है।

स्रोत: opennet.ru