A PyPI (Python Package Index) adatbázisában három könyvtárat azonosítottak, amelyek rosszindulatú kódot tartalmaztak. A problémák azonosítása és a könyvtárból való eltávolítás előtt összesen majdnem 15 ezer alkalommal töltötték le a csomagokat.
A dpp-client (10194 letöltés) és a dpp-client1234 (1536 letöltés) csomagokat február óta terjesztették, és olyan kódot tartalmaztak, amely a környezeti változók tartalmát küldte el, amelyek például hozzáférési kulcsokat, tokent vagy jelszavakat tartalmazhattak a folyamatos integrációs rendszerekhez vagy felhőplatformokhoz, mint például az AWS. A csomagok listát is küldtek egy külső hosztra a „/home”, „/mnt/mesos/” és „mnt/mesos/sandbox” könyvtárak tartalmáról.
Az aws-login0tool (3042 letöltés) csomagot a PyPI adattárban december 1-jén helyezték el, és olyan kódot tartalmazott, amely lehetővé tette egy trójai alkalmazás letöltését és futtatását, amellyel át lehetett venni a Windows rendszereken futó hosztok irányítását. A csomagnév megválasztásakor figyelembe vették, hogy a „0” és a „-” gombok közel vannak egymáshoz, és van egy esély, hogy a fejlesztő az „aws-login0tool” nevet beírja ahelyett, hogy az „aws-login-tool”-t írná.
A problémás csomagokat egy egyszerű kísérlet során azonosították, amelynek során a Bandersnatch segédprogram segítségével a PyPI csomagok egy részét (körülbelül 200 ezer a 330 ezer csomagból az adattárban) töltötték le, majd a grep segédprogrammal kiemelték és elemezték azokat a csomagokat, amelyek setup.py fájljaiban említésre került az „import urllib.request” hívás, amelyet általában külső hosztokkal való kommunikációra használnak.
Forrás: opennet.ru
