שלוש ספריות זדוניות זוהו בספריית החבילות PyPI Python

שלוש ספריות המכילות קוד זדוני זוהו בספריית PyPI (Python Package Index). לפני שזוהו והוסרו בעיות מהקטלוג, החבילות הורדו כמעט 15 אלף פעמים.

החבילות dpp-client (10194 הורדות) ו-dpp-client1234 (1536 הורדות) הופצו מאז פברואר וכללו קוד לשליחת התוכן של משתני סביבה, אשר, למשל, יכולים לכלול מפתחות גישה, אסימונים או סיסמאות למערכות אינטגרציה רציפות או סביבות ענן כגון AWS. כמו כן, החבילות שלחו רשימה המכילה את התוכן של ספריות "/home", "/mnt/mesos/" ו-"mnt/mesos/sandbox" למארח החיצוני.

חבילת aws-login0tool (3042 הורדות) פורסמה למאגר PyPI ב-1 בדצמבר וכללה קוד להורדה והרצה של יישום טרויאני כדי להשתלט על מארחים המריצים Windows. בעת בחירת שם החבילה, החישוב נעשה על בסיס העובדה שהמקשים "0" ו-"-" נמצאים בקרבת מקום וקיימת אפשרות שהמפתח יקליד "aws-login0tool" במקום "aws-login-tool".

החבילות הבעייתיות זוהו במהלך ניסוי פשוט, שבו הורדה חלק מחבילות PyPI (כ-200 אלף מתוך 330 אלף חבילות במאגר) באמצעות כלי השירות Bandersnatch, ולאחר מכן כלי השירות grep זיהה וניתח את החבילות שהיו. מוזכרת בקובץ setup.py הקריאה "import urllib.request", המשמשת בדרך כלל לשליחת בקשות למארחים חיצוניים.

מקור: OpenNet.ru