Cov kws tshawb fawb ntawm GitGuardian tau tshaj tawm cov txiaj ntsig ntawm lawv txoj kev tshuaj xyuas cov ntaub ntawv zais cia uas cov neeg tsim khoom tso tseg hauv cov lej khaws cia rau ntawm Python Package Index (PyPI) repository. Tom qab tshuaj xyuas ntau dua 9.5 lab cov ntaub ntawv thiab 5 lab pob khoom tso tawm uas cuam tshuam nrog 450 qhov project, lawv tau txheeb xyuas 56866 qhov xau cov ntaub ntawv zais cia. Xav txog tsuas yog cov ntaub ntawv tshwj xeeb, tsis suav nrog kev theej ntawm cov ntawv tso tawm, tus lej ntawm cov xau tau txheeb xyuas yog 3938, thiab tus lej ntawm cov project uas muaj tsawg kawg ib qho xau yog 2922.
Tag nrho, muaj ntau tshaj 150 hom kev xau cov ntaub ntawv zais cia tau txheeb xyuas, suav nrog cov passwords uas siv ntau, cov yuam sij cryptographic, cov cim nkag mus rau cov kev pabcuam huab, cov txheej txheem kev sib koom ua ke tas mus li, thiab APIs. Yam tsawg kawg yog 768 daim ntawv pov thawj tseem siv tau thaum lub sijhawm kawm. Piv txwv ntawm cov kev xau uas siv ntau uas tseem siv tau suav nrog Azure Active Directory access keys, SSH, MongoDB, MySQL, thiab PostgreSQL cov ntawv pov thawj, GitHub OAuth App, Dropbox, thiab Auth0 cov yuam sij, thiab Coinbase thiab Twilio cov ntawv pov thawj nkag mus.
Ntawm cov hom kev xau uas tshwm sim ntau zuj zus, Telegram bot access tokens tau raug hais txog, nrog rau tus lej ob npaug thaum ntxov xyoo 2021 thiab tom qab ntawd ob npaug dua thaum lub caij nplooj ntoo hlav xyoo 2023. Kev nce ntxiv ntawm kev xau kuj tau raug sau tseg rau Google API access keys txij li xyoo 2020, thiab rau cov ntaub ntawv pov thawj ntawm lub kaw lus tswj hwm database txij li xyoo 2022. Ntawm cov pob khoom uas feem ntau xau, cov pob chatllm thiab safire tau raug hais txog, nrog rau 209 OpenAI keys thiab 320 Google Cloud keys tau raug xau.
Ntxiv rau cov ntaub ntawv uas muaj qhov txuas ntxiv ".py", cov hom ntaub ntawv uas muaj qhov xau ntau tshaj plaws suav nrog .json (610 qhov xau), .md (270), PKG-INFO (240), METADATA (210), .txt (170), cov ntaub ntawv README (209), thiab cov ntaub ntawv los ntawm cov npe hu ua test (675). Ntau qhov xau kuj yog vim muaj kev saib xyuas thiab qhov yuam kev hauv cov chaw teeb tsa cov ntaub ntawv thaum tsim cov pob khoom. Piv txwv li, cov ntaub ntawv nrog cov ntaub ntawv teeb tsa hauv zos (.cookiecutterrc, .env, .pypirc, thiab lwm yam) tuaj yeem raug tshem tawm ntawm Git repository ntawm cov ntaub ntawv ".gitignore", uas tsis raug coj mus rau hauv tus account thaum tsim pob khoom. Tshwj xeeb, 43 cov ntaub ntawv .pypirc tau pom hauv lub chaw khaws khoom, muaj cov ntaub ntawv pov thawj rau kev nkag mus rau PyPI. Hauv 15 qhov xwm txheej xau, cov neeg tsim khoom tsis muaj lub siab xav tso tawm cov pob khoom rau pej xeem uas tau tsim rau kev siv sab hauv, tab sis luam tawm lawv ntawm PyPI los ntawm kev ua yuam kev.
Tsis tas li ntawd xwb, muaj ob qho xwm txheej ntxiv uas cuam tshuam nrog PyPI uas tsim nyog hais txog:
- Muaj yim lub pob khoom phem tau raug tshawb pom hauv PyPI repository, uas hais tias yog cov cuab yeej obfuscation, lossis code obfuscation, ua rau nws nyuaj rau rov tsim dua cov algorithm hauv qab. Cov pob khoom uas tau tshawb pom muaj cov kab lus "pyobf" hauv lawv lub npe (Pyobftoexe, Pyobfusfile, Pyobfexecute, Pyobfpremium, Pyobflight, Pyobfadvance, Pyobfuse, thiab pyobfgood) thiab tau raug rub tawm ntau dua 2000 zaug.
Cov lej phem uas tau muab tso rau hauv cov pob khoom yog tshwj xeeb rau lub platform. Windows thiab tso cai rau kev sib txuas rau kev tswj hwm sab nraud neeg rau zaub mov, khiav cov lus txib tsis raws cai ntawm tus tsim tawm lub khoos phis tawj, nrhiav thiab xa cov ntaub ntawv rhiab heev, xws li cov yuam sij nkag mus, mus rau lub server sab nraud, thiab xa cov ntaub ntawv tsis raws cai los ntawm lub system. Ntxiv mus, cov lej phem tuaj yeem ua haujlwm ua tus keylogger, ntes cov passwords nkag mus rau hauv Chrome, tsim cov duab thaij, kaw suab, thiab txawm tias tswj lub webcam.
- Cov txiaj ntsig ntawm kev tshuaj xyuas cov codebase ywj pheej ntawm cov cuab yeej siv los tswj hwm pypi.org repository thiab "cabotage" framework, uas muaj zog rau cov khoom siv hauv lub thawv, tau luam tawm lawm. Kev tshuaj xyuas tau ua nrog kev txhawb nqa ntawm lub koom haum tsis muaj txiaj ntsig OTF (Open Technology Fund). Kev tshuaj xyuas tsis tau txheeb xyuas cov teeb meem loj heev, thiab cov lej tau pom tias ua tau raws li cov kev cai yooj yim rau kev ruaj ntseg coding. Txawm li cas los xij, kev sim tsis txaus ntawm cabotage codebase tau pom, thiab 29 qhov teeb meem tau txheeb xyuas, yim ntawm cov uas tau ntsuas tias nruab nrab, rau qhov qis, thiab 14 ua kev qhia.
Cov teeb meem tseem ceeb tshaj plaws yog:
- Kev tsis lees paub txaus ntawm cov kos npe digital siv los sib koom ua ke PyPI nrog AWS SNS ua rau muaj kev ceeb toom email xa mus rau cov neeg siv ib tus zuj zus.
- Ib qho kev xau ntawm cov ntaub ntawv hauv tus neeg rub tawm tso cai rau kev txiav txim siab qhov muaj nyob ntawm ib tus account yam tsis tsim cov xwm txheej nkag mus.
- Siv cov hashes cryptographic tsis muaj zog uas tsis zam kev tawm tsam cache lom.
- Nrog kev tso cai los khiav cov txheej txheem tsim kho los ntawm cabotage, tus neeg tawm tsam tuaj yeem ua tiav qhov kev hloov pauv lus txib.
- Nrog cov cai xa tawm hauv cabotage, tus neeg tawm tsam tuaj yeem xa tawm cov duab zoo li raug cai.
Tau qhov twg los: opennet.ru
