Nel catalogo PyPI (Python Package Index) sono state individuate tre librerie contenenti codice dannoso. Prima di essere rimosse, queste librerie erano state scaricate quasi 15.000 volte.
I pacchetti dpp-client (10.194 download) e dpp-client1234 (1.536 download) sono stati distribuiti da febbraio e includevano codice per inviare il contenuto delle variabili d'ambiente, che potevano includere chiavi di accesso, token o password per sistemi di integrazione continua o ambienti cloud come AWS. I pacchetti inviavano anche a un host esterno l'elenco del contenuto delle directory "/home", "/mnt/mesos/" e "mnt/mesos/sandbox".
Il pacchetto aws-login0tool (3.042 download) è stato pubblicato nel repository PyPI il 1° dicembre e includeva codice per scaricare e avviare un'applicazione trojan per prendere il controllo degli host in esecuzione su Windows. Scegliendo il nome del pacchetto, si presumeva che i tasti "0" e "-" fossero vicini e che ci fosse la possibilità che uno sviluppatore digitasse "aws-login0tool" invece di "aws-login-tool".
Sono stati identificati pacchetti problematici durante un semplice esperimento in cui, utilizzando lo strumento Bandersnatch, è stata scaricata una parte dei pacchetti PyPI (circa 200.000 su 330.000 pacchetti nel repository). Successivamente, sono stati estratti e analizzati i pacchetti il cui file setup.py menzionava la chiamata «import urllib.request», normalmente utilizzata per inviare richieste a host esterni.
Fonte: opennet.ru
