បណ្ណាល័យព្យាបាទចំនួនបីត្រូវបានរកឃើញនៅក្នុងបញ្ជីកញ្ចប់ PyPI Python

បណ្ណាល័យចំនួនបីដែលមានកូដព្យាបាទត្រូវបានកំណត់អត្តសញ្ញាណនៅក្នុងថត PyPI (សន្ទស្សន៍កញ្ចប់ Python) ។ មុនពេលបញ្ហាត្រូវបានកំណត់អត្តសញ្ញាណ និងដកចេញពីកាតាឡុក កញ្ចប់ត្រូវបានទាញយកជិត 15 ពាន់ដង។

កញ្ចប់ dpp-client (10194 ទាញយក) និង dpp-client1234 (1536 ទាញយក) ត្រូវបានចែកចាយតាំងពីខែកុម្ភៈ ហើយរួមបញ្ចូលកូដសម្រាប់ការផ្ញើខ្លឹមសារនៃអថេរបរិស្ថាន ដែលឧទាហរណ៍ អាចរួមបញ្ចូលសោចូលប្រើ សញ្ញាសម្ងាត់ ឬពាក្យសម្ងាត់ទៅកាន់ប្រព័ន្ធរួមបញ្ចូលជាបន្តបន្ទាប់។ ឬបរិស្ថានពពកដូចជា AWS ។ កញ្ចប់ក៏បានផ្ញើបញ្ជីដែលមានមាតិកានៃថត "/home", "/mnt/mesos/" និង "mnt/mesos/sandbox" ទៅម៉ាស៊ីនខាងក្រៅ។

កញ្ចប់ aws-login0tool (ទាញយក 3042) ត្រូវបានបង្ហោះទៅកាន់ឃ្លាំង PyPI នៅថ្ងៃទី 1 ខែធ្នូ ហើយរួមបញ្ចូលលេខកូដដើម្បីទាញយក និងដំណើរការកម្មវិធី Trojan ដើម្បីគ្រប់គ្រងម៉ាស៊ីនដែលដំណើរការវីនដូ។ នៅពេលជ្រើសរើសឈ្មោះកញ្ចប់ ការគណនាត្រូវបានធ្វើឡើងដោយការពិតដែលថាគ្រាប់ចុច "0" និង "-" នៅជិត ហើយមានលទ្ធភាពដែលអ្នកអភិវឌ្ឍន៍នឹងវាយ "aws-login0tool" ជំនួសឱ្យ "aws-login-tool" ។

កញ្ចប់បញ្ហាត្រូវបានគេកំណត់អត្តសញ្ញាណកំឡុងពេលពិសោធន៍សាមញ្ញ ដែលក្នុងនោះផ្នែកមួយនៃកញ្ចប់ PyPI (ប្រហែល 200 ពាន់ចេញពី 330 ពាន់កញ្ចប់នៅក្នុងឃ្លាំង) ត្រូវបានទាញយកដោយប្រើឧបករណ៍ប្រើប្រាស់ Bandersnatch បន្ទាប់ពីនោះឧបករណ៍ប្រើប្រាស់ grep កំណត់អត្តសញ្ញាណ និងវិភាគកញ្ចប់ដែលមាន ដែលបានលើកឡើងនៅក្នុងឯកសារ setup.py ការហៅ "នាំចូល urlib.request" ដែលជាធម្មតាត្រូវបានប្រើដើម្បីផ្ញើសំណើទៅកាន់ម៉ាស៊ីនខាងក្រៅ។

ប្រភព: opennet.ru