PyPI (Python Package Index) գրացուցակում հայտնաբերվել են վնասակար կոդ պարունակող երեք գրադարաններ: Մինչև խնդիրների հայտնաբերումը և կատալոգից հանելը, փաթեթները ներբեռնվել են գրեթե 15 հազար անգամ։
dpp-client (10194 ներբեռնումներ) և dpp-client1234 (1536 ներբեռնումներ) փաթեթները բաշխվել են փետրվարից և ներառել են շրջակա միջավայրի փոփոխականների բովանդակությունը ուղարկելու կոդ, որը, օրինակ, կարող է ներառել մուտքի բանալիներ, նշաններ կամ գաղտնաբառեր շարունակական ինտեգրման համակարգերին: կամ ամպային միջավայրեր, ինչպիսիք են AWS-ը: Փաթեթները արտաքին հոսթին ուղարկեցին նաև «/home», «/mnt/mesos/» և «mnt/mesos/sandbox» դիրեկտորիաների բովանդակությունը պարունակող ցուցակ:
Aws-login0tool փաթեթը (3042 ներբեռնում) տեղադրվել է PyPI-ի պահոցում դեկտեմբերի 1-ին և ներառում է կոդ՝ տրոյական հավելված ներբեռնելու և գործարկելու համար՝ Windows-ով աշխատող հոսթերը վերահսկելու համար: Փաթեթի անվանումն ընտրելիս հաշվարկն արվել է այն բանի վրա, որ «0» և «-» ստեղները մոտակայքում են, և կա հավանականություն, որ մշակողը «aws-login-tool»-ի փոխարեն մուտքագրի «aws-login0tool»:
Խնդրահարույց փաթեթները բացահայտվել են պարզ փորձի ժամանակ, որի ընթացքում PyPI փաթեթների մի մասը (պահեստի 200 հազար փաթեթներից մոտ 330 հազարը) ներբեռնվել են Bandersnatch կոմունալ ծրագրի միջոցով, որից հետո grep կոմունալը հայտնաբերել և վերլուծել է այն փաթեթները, որոնք եղել են: նշված է setup.py ֆայլում «ներմուծել urllib.request» զանգը, որը սովորաբար օգտագործվում է արտաքին հոսթերին հարցումներ ուղարկելու համար:
Source: opennet.ru