Gli sviluppatori della piattaforma Packj, che analizza la sicurezza delle librerie, hanno pubblicato un toolkit open-source da utilizzare tramite riga di comando, che consente di identificare strutture rischiose nei pacchetti, collegate all'implementazione di attività dannose o alla presenza di vulnerabilità, utilizzate per attaccare i progetti che impiegano i pacchetti in questione (supply chain). Viene supportato il controllo dei pacchetti nei linguaggi Python e JavaScript, ospitati nei repository PyPi e NPM (questo mese è anche previsto l'aggiunta del supporto per Ruby e RubyGems). Il codice del toolkit è scritto in Python e distribuito sotto licenza AGPLv3.
Durante l'analisi di 330.000 pacchetti tramite gli strumenti forniti nel repository PyPi, sono stati identificati 42 pacchetti dannosi con backdoor e 2.400 pacchetti a rischio. Nel processo di esame viene effettuata un'analisi statica del codice per individuare le caratteristiche dell'API e si valuta la presenza di vulnerabilità note, segnalate nel database OSV. Per l'analisi dell'API viene utilizzato il pacchetto MalOSS. Il codice dei pacchetti viene analizzato alla ricerca di schemi tipici, comunemente utilizzati nel malware. Gli schemi sono stati preparati sulla base dello studio di 651 pacchetti con attività dannosa confermata.
Vengono anche identificati attributi e metadati che aumentano il rischio di utilizzi impropri, come l'esecuzione di blocchi tramite “eval” o “exec”, la generazione di nuovo codice durante l'esecuzione, l'utilizzo di tecniche di offuscamento, manipolazioni delle variabili di ambiente, accesso non autorizzato a file, riferimenti a risorse di rete negli script di installazione (setup.py), l'uso di type squatting (assegnazione di nomi simili a quelli di librerie popolari), l'identificazione di progetti obsoleti e abbandonati, indicazioni di email e siti inesistenti, e l'assenza di un repository pubblico con il codice.
Inoltre, è stato segnalato da altri ricercatori di sicurezza il rinvenimento di cinque pacchetti dannosi nel repository PyPi, che inviavano a un server esterno un server il contenuto delle variabili d'ambiente con l'intento di rubare i token AWS e dei sistemi di integrazione continua: loglib-modules (presentato come moduli per la legittima libreria loglib), pyg-modules, pygrata e pygrata-utils (presentati come estensioni della legittima libreria pyg) e hkg-sol-utils.
Fonte: opennet.ru
