PyPI (Python Package Index) каталогында зиянды кодты қамтитын үш кітапхана анықталды. Мәселелер анықталып, каталогтан жойылғанға дейін пакеттер шамамен 15 мың рет жүктелді.
dpp-client (10194 жүктеп алу) және dpp-client1234 (1536 жүктеп алу) бумалары ақпан айынан бері таратылды және олар, мысалы, үздіксіз интеграциялық жүйелерге кіру кілттерін, таңбалауыштарды немесе құпия сөздерді қамтуы мүмкін орта айнымалыларының мазмұнын жіберуге арналған кодты қамтиды. немесе AWS сияқты бұлттық орталар. Бумалар сонымен қатар сыртқы хостқа «/home», «/mnt/mesos/» және «mnt/mesos/sandbox» каталогтарының мазмұнын қамтитын тізімді жіберді.
aws-login0tool бумасы (3042 жүктеп алу) 1 желтоқсанда PyPI репозиторийіне орналастырылды және Windows жүйесімен жұмыс істейтін хосттарды басқаруға арналған трояндық қолданбаны жүктеп алу және іске қосу үшін кодты қамтиды. Пакет атауын таңдаған кезде есептеу «0» және «-» пернелері жақын жерде және әзірлеуші «aws-login-tool» орнына «aws-login0tool» теру мүмкіндігі бар екендігіне негізделген.
Проблемалық пакеттер PyPI пакеттерінің бір бөлігі (репозиторийдегі 200 мың буманың 330 мыңға жуығы) Bandersnatch утилитасының көмегімен жүктелген қарапайым эксперимент кезінде анықталды, содан кейін grep утилитасы табылған пакеттерді анықтап, талдады. setup.py файлында айтылған "import urllib.request" шақыруы, әдетте сыртқы хосттарға сұрау жіберу үшін пайдаланылады.
Ақпарат көзі: opennet.ru