פורסם מנתח שזיהה 200 חבילות זדוניות ב-NPM וב-PyPI

ה-OpenSSF (Open Source Security Foundation), שהוקמה על ידי קרן Linux ומטרתה לשפר את האבטחה של תוכנות קוד פתוח, הציגה את הפרויקט הפתוח Package Analysis, המפתח מערכת לניתוח נוכחות של קוד זדוני בחבילות. קוד הפרויקט כתוב ב-Go ומופץ תחת רישיון Apache 2.0. סריקה ראשונית של מאגרי NPM ו-PyPI באמצעות הכלים המוצעים אפשרה לנו לזהות יותר מ-200 חבילות זדוניות שלא זוהו בעבר.

עיקר החבילות הבעייתיות שזוהו מבצעות מניפולציות על הצטלבות של שמות עם תלות פנימית שאינה ציבורית של פרויקטים (התקפת בלבול תלות) או משתמשות בשיטות טיפוסקווטינג (הקצאת שמות דומים לשמות של ספריות פופולריות), וגם מתקשרות לסקריפטים שניגשים למארחים חיצוניים במהלך תהליך ההתקנה. לטענת מפתחי Package Analysis, רוב החבילות הבעייתיות שזוהו נוצרו ככל הנראה על ידי חוקרי אבטחה המשתתפים בתוכנות הבאונטי, שכן הנתונים הנשלחים מוגבלים לשם המשתמש והמערכת, והפעולות מתבצעות במפורש, ללא ניסיונות להסתיר את התנהגותם.

חבילות עם פעילות זדונית כוללות:

• חבילת PyPI discordcmd, המתעדת שליחת בקשות לא טיפוסיות אל raw.githubusercontent.com, Discord API ו-ipinfo.io. החבילה שצוינה הורידה את קוד הדלת האחורית מ-GitHub והתקינה אותו בספריית הלקוחות של Discord Windows, ולאחר מכן היא החלה בתהליך חיפוש אחר אסימוני Discord במערכת הקבצים ושליחתם לשרת Discord חיצוני שנשלט על ידי התוקפים.
• חבילת NPM colorsss ניסתה לשלוח גם אסימונים מחשבון Discord לשרת חיצוני.
• חבילת NPM @roku-web-core/ajax - במהלך תהליך ההתקנה היא שלחה נתונים על המערכת והשיקה מטפל (מעטפת הפוכה) שקיבל חיבורים חיצוניים והפעיל פקודות.
• חבילת PyPI secrevthree - השיקה מעטפת הפוכה בעת ייבוא ​​מודול ספציפי.
• חבילת NPM random-vouchercode-generator - לאחר ייבוא ​​הספרייה היא שלחה בקשה לשרת חיצוני שהחזיר את הפקודה ואת השעה בה יש להפעיל אותה.

העבודה של Package Analysis מסתכמת בניתוח חבילות קוד בקוד המקור ליצירת חיבורי רשת, גישה לקבצים והפעלת פקודות. בנוסף, השינויים במצב החבילות מנוטרים כדי לקבוע הוספת תוספות זדוניות באחת מהגרסאות של תוכנות לא מזיקות בתחילה. כדי לפקח על הופעתן של חבילות חדשות במאגרים ולבצע שינויים בחבילות שפורסמו בעבר, נעשה שימוש בערכת הכלים של Package Feeds, המאחדת עבודה עם מאגרי NPM, PyPI, Go, RubyGems, Packagist, NuGet ו-Crate.

ניתוח החבילות כולל שלושה מרכיבים בסיסיים שניתן להשתמש בהם הן ביחד והן בנפרד:

• מתזמן להפעלת עבודת ניתוח חבילות המבוססת על נתונים מהזנות חבילות.
• מנתח הבוחן ישירות חבילה ומעריך את התנהגותה באמצעות ניתוח סטטי וטכניקות מעקב דינמיות. הבדיקה מתבצעת בסביבה מבודדת.
• מטעין שמציב את תוצאות הבדיקה באחסון BigQuery.

מקור: OpenNet.ru