PyPI ја суспендираше регистрацијата на нови корисници и проекти поради напливот на малициозни публикации

Складиштето на Пајтон пакети PyPI (Индекс на пакети Python) привремено забрани регистрација на нови корисници и создавање нови проекти поради тековното масовно преземање на малициозни пакети за време на автоматизиран напад. Блокот беше воведен откако 26 пакети со злонамерен код, стилизирани по 27 популарни библиотеки на Python, беа поставени во складиштето на 566 и 16 март.

Имињата на пакетите се формираат со користење на тип сквотирање, т.е. доделување слични имиња кои се разликуваат по поединечни знаци, на пример, temsorflow наместо tensorflow, requyests наместо барања, asyincio наместо asyncio итн. При извршувањето на таквите напади, напаѓачите се потпираат на невнимателните корисници кои направиле печатна грешка или не забележале разлики во името при пребарување или следење на линк од форуми и разговори во кои напаѓачите оставаат измамнички упатства.

Злонамерните пакети се базираат на кодот на легитимни библиотеки, кои содржат индивидуални модификации што инсталираат малициозен софтвер на системот. Малициозниот софтвер пребарува и испраќа доверливи податоци и датотеки што содржат лозинки, клучеви за пристап, криптовалутни паричници, токени и колачиња за сесија. Злонамерниот код е вграден во датотеката setup.py, која се извршува за време на инсталацијата на пакетот. По активирањето, модификацијата ги презема главните малициозни компоненти од надворешен директориум. сервер.

Во текот на два дена, напаѓачите преземале 29 малициозни варијанти на пакетот tensorflow, 26 - BeautifulSoup, 26 - PyGame, 15 - SimpleJson, 38 - Matplotlib, 26 - PyTorch, 67 - CustomTKInter, 28 - селен, 17 - playwright - asyncio и 15 - барања. Дополнително, идентификувани се изолирани случаи на фалсификување на барањата, библиотеките py-cord, colorama, capmonstercloudclient, pillow и bip-utils.

Одделно, беше забележан напад врз заедницата Top.gg, која има 170 корисници. За време на нападот, напаѓачот успеа да ја компромитира сметката на GitHub на еден од програмерите на top.gg со крадење колачиња од прелистувачот. Напаѓачот, исто така, додаде три пакети во складиштето PyPI и регистрираше домени pypihosted.org и pythanhosted.org, кои беа користени како огледало за дистрибуција на зависности од малициозни пакети.

Преку хакирана сметка, беше направена промена во складиштето GitHub на проектот top.gg, кој беше домаќин на обвивката на Python за Top.gg API, додавајќи датотека requires.txt. Датотеката содржеше листа на зависности што може да се преземат, во која, под маската на преземање зависност од огледало, имаше врска до злонамерен клон на пакетот „colorama“ хостиран на лажниот домен pypihosted.org, со очекување дека програмерите не би ја забележале разликата со легитимниот домен pythonhosted.org , каде што обично се преземаат пакетите од PyPI.

Извор: opennet.ru