Nel catalogo PyPI (Python Package Index) sono state identificate tre librerie contenenti codice dannoso. Prima dell'individuazione dei problemi e della rimozione dal catalogo, in totale i pacchetti sono stati scaricati quasi 15.000 volte.
I pacchetti dpp-client (10.194 download) e dpp-client1234 (1.536 download) sono stati distribuiti da febbraio e includevano codice per inviare il contenuto delle variabili di ambiente, che ad esempio potevano contenere chiavi di accesso, token o password per sistemi di integrazione continua o ambienti cloud come AWS. I pacchetti inviavano anche a un host esterno un elenco con il contenuto delle directory "/home", "/mnt/mesos/" e "mnt/mesos/sandbox".
Il pacchetto aws-login0tool (3.042 download) è stato pubblicato nel repository PyPI il 1° dicembre e includeva codice per scaricare e avviare un'applicazione trojan per prendere il controllo degli host che funzionano con Windows. Nella scelta del nome del pacchetto si è tenuto conto che i tasti "0" e "-" sono vicini e c'era la probabilità che lo sviluppatore digitasse "aws-login0tool" invece di "aws-login-tool".
I pacchetti problematici sono stati identificati durante un semplice esperimento, in cui una parte dei pacchetti PyPI (circa 200.000 su 330.000 pacchetti nel repository) è stata scaricata utilizzando lo strumento Bandersnatch, dopodiché i pacchetti in cui si menzionava la chiamata "import urllib.request" nel file setup.py sono stati estratti e analizzati; questa chiamata è normalmente utilizzata per inviare richieste a host esterni.
Fonte: opennet.ru
