Il repository di pacchetti Python PyPI (Python Package Index) ha temporaneamente sospeso la registrazione di nuovi utenti e progetti a causa di un picco di attività da parte di malintenzionati che hanno avviato la pubblicazione di pacchetti contenenti codice dannoso. Si segnala che, considerando che diversi amministratori sono in ferie, la scorsa settimana il numero di progetti dannosi registrati ha superato la capacità della restante squadra di PyPI di rispondere prontamente. Gli sviluppatori intendono ristrutturare alcuni processi di verifica durante il fine settimana, dopo di che riprenderanno le registrazioni nel repository.
Secondo il sistema di monitoraggio dell'attività dannosa di Sonatype, a marzo 2023 sono stati trovati 6933 pacchetti dannosi nel catalogo PyPI, e dal 2019 il numero totale di pacchetti dannosi identificati ha superato le 115 mila unità. Nel dicembre 2022, a seguito di un attacco ai cataloghi NuGet, NPM e PyPI, è stata registrata la pubblicazione di 144 mila pacchetti contenenti codice per phishing e spam.
La maggior parte dei pacchetti dannosi si maschera da librerie popolari attraverso il typo-squatting (assegnazione di nomi simili, differendo per singoli caratteri, come exampl invece di example, djangoo invece di django, pyhton invece di python, e così via) — i malintenzionati contano sugli utenti distratti, che fanno errori di battitura o non notano le differenze nel nome durante la ricerca. Le azioni dannose consistono generalmente nell'invio di dati riservati trovati nel sistema locale a causa dell'identificazione di file di tipo con password, chiavi di accesso, portafogli crittografici, token, cookie di sessione e altre informazioni riservate.
Fonte: opennet.ru
