PyPI (Python Package Index) лавлахад хортой код агуулсан гурван номын санг илрүүлсэн. Асуудлыг илрүүлж, каталогоос хасахаас өмнө багцуудыг бараг 15 мянган удаа татаж авсан.
dpp-client (10194 татагдсан) болон dpp-client1234 (1536 татагдсан) багцууд нь XNUMX-р сараас хойш тархсан бөгөөд орчны хувьсагчийн агуулгыг илгээх кодыг агуулсан, тухайлбал, тасралтгүй интеграцийн системд хандалтын түлхүүр, жетон эсвэл нууц үг оруулах боломжтой. эсвэл AWS зэрэг үүлэн орчин. Багцууд нь мөн "/home", "/mnt/mesos/" болон "mnt/mesos/sandbox" сангуудын агуулгыг агуулсан жагсаалтыг гадаад хост руу илгээсэн.
aws-login0tool багц (3042 татан авалт) 1-р сарын 0-нд PyPI репозитор дээр тавигдсан бөгөөд Windows үйлдлийн системтэй хостуудыг хянах Трояны програмыг татаж, ажиллуулах кодыг оруулсан. Багцын нэрийг сонгохдоо "0" ба "-" товчлуурууд ойрхон байгаа тул хөгжүүлэгч "aws-login-tool" биш "aws-loginXNUMXtool" гэж бичих боломжтойг харгалзан тооцоолсон.
Асуудалтай багцуудыг энгийн туршилтын үеэр тодорхойлсон бөгөөд PyPI багцуудын нэг хэсгийг (репозитор дахь 200 мянган багцаас 330 мянга орчим) Bandersnatch хэрэглүүрийг ашиглан татаж авсны дараа grep хэрэгсэл нь багцуудыг тодорхойлж, дүн шинжилгээ хийсэн. setup.py файлд дурдсан "import urllib.request" дуудлага нь ихэвчлэн гадаад хост руу хүсэлт илгээхэд ашиглагддаг.
Эх сурвалж: opennet.ru