{"id":170057,"date":"2026-04-29T00:24:33","date_gmt":"2026-04-28T22:24:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-python-paket-elementary-data-imeyushhij-1-1-mln-zagruzok-v-mesyacz-vnedryon-vredonosnyj-kod"},"modified":"2026-04-29T00:24:33","modified_gmt":"2026-04-28T22:24:33","slug":"v-python-paket-elementary-data-imeyushhij-1-1-mln-zagruzok-v-mesyacz-vnedryon-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/v-python-paket-elementary-data-imeyushhij-1-1-mln-zagruzok-v-mesyacz-vnedryon-vredonosnyj-kod","title":{"rendered":"Nel pacchetto Python elementary-data, che conta 1,1 milioni di download al mese, \u00e8 stato inserito del codice dannoso","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda Elementary Data ha segnalato una compromissione dei processi di GitHub Actions, grazie alla quale gli aggressori sono riusciti a pubblicare nel catalogo PyPI e nel repository GitHub una versione del pacchetto elementary-data 0.23.3, contenente codice malevolo per il furto di informazioni riservate dai sistemi degli utenti. La versione malevola \u00e8 stata anche inclusa nell'immagine ufficiale Docker del progetto. Il mese scorso, il pacchetto elementary-data \u00e8 stato scaricato dal repository PyPI oltre 1,1 milioni di volte. <\/p>\n
La versione malevola \u00e8 stata pubblicata il 25 aprile alle 1:20 (MSK) ed \u00e8 rimasta disponibile per il download per oltre 11 ore (fino alle 12:45). L'attacco \u00e8 stato effettuato tramite l'invio di una pull request con un commento appositamente formulato, che sfruttava una vulnerabilit\u00e0 nel gestore di GitHub Action attivato automaticamente. Gli aggressori sono riusciti a eseguire comandi shell nell'ambiente di integrazione continua ed estrarre il contenuto della variabile d'ambiente GITHUB_TOKEN con il token di accesso al repository. Questo token \u00e8 stato utilizzato per creare diversi rami in git e preparare il rilascio.<\/p>\n
Nella versione pubblicata dagli aggressori \u00e8 stato incluso codice malevolo, codificato in formato base64 e attivato durante l'installazione del pacchetto. Il codice malevolo eseguiva la scansione del sistema e inviava dati riservati, come chiavi SSH e SSL\/TLS, contenuto delle variabili d'ambiente, credenziali AWS, GCP, Azure e K8s, chiavi di wallet crittografici, password per database, cronologia delle operazioni nel terminale, file di configurazione per Git, CI\/CD, gestori di pacchetti e Docker. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"