A Python csomagok tárolója, a PyPI (Python Package Index) ideiglenesen megtiltotta az új felhasználók regisztrálását és új projektek létrehozását a folyamatos rosszindulatú csomagok tömeges feltöltése miatt, amely egy automatizált támadás során történt. A blokádot az után vezették be, hogy 26-án és 27-én 566 rosszindulatú kódot tartalmazó csomagot töltöttek fel a tárolóba, amelyeket 16 népszerű Python könyvtár stílusában alakítottak ki.
A csomagok nevei a típusösszevonás segítségével jönnek létre, azaz hasonló nevek megadásával, amelyek eltérnek néhány karakterben, például temsorflow a tensorflow helyett, requyests a requests helyett, asyincio a asyncio helyett stb. Az ilyen támadások során a támadók a figyelmetlen felhasználókra támaszkodnak, akik elgépelnek vagy nem veszik észre a név eltéréseit, amikor a fórumból vagy chatből származó linkre kattintanak.
A rosszindulatú csomagok jogszerű könyvtárak kódján alapulnak, amelyekbe egyedi változtatásokat építettek be, hogy a rendszerbe rosszindulatú szoftvert telepítsenek, amely keres és küld titkos adatokat és fájlokat, például jelszavakat, hozzáférési kulcsokat, kriptovaluta tárcákat, tokeneket és munkameneti sütiket. A rosszindulatú kód a setup.py fájlba van beágyazva, amely a csomag telepítése során fut le. A telepítés során a módosítás letölti a rosszindulatú komponensek fő részeit egy külső forrásból. a szerver.
Két nap alatt a támadók 29 rosszindulatú verziót töltöttek fel a tensorflow csomagból, 26-ot a BeautifulSoup-ból, 26-ot a PyGame-ből, 15-öt a SimpleJson-ból, 38-at a Matplotlib-ból, 26-ot a PyTorch-ból, 67-et a CustomTKInter-ből, 28-at a selenium-ból, 17-et a playwright-ból, 15-öt az asyncio-ból és 67-et a requirements-ból. Ezenkívül külön esetek kerültek az requests, py-cord, colorama, capmonstercloudclient, pillow és bip-utils könyvtárak hamisítására.
Külön említést érdemel a Top.gg közösség elleni támadás, amely 170 ezer felhasználót számlál. A támadás során a támadó sikeresen kompromittálta a top.gg egyik fejlesztőjének GitHub fiókját a böngésző sütik ellopásával. A támadó három csomagot is feltöltött a PyPI tárolóba és regisztrált domainok pypihosted.org és pythanhosted.org, ahol tükröt hoztak létre a rosszindulatú függőségek terjesztésére a csomagokhoz.
A GitHub account for the project top.gg was compromised, leading to a change in its repository that added a requirements.txt file. This file contained a list of dependencies, which included a link masquerading as a legitimate dependency from a mirror, pointing to a malicious clone of the package ‘colorama’, hosted on a spoofed domain pypihosted.org, hoping developers would not notice the difference from the legitimate domain pythonhosted.org, from which packages are typically downloaded from PyPI.
Forrás: opennet.ru
