PyPI Python पॅकेज निर्देशिकेत तीन दुर्भावनापूर्ण लायब्ररी आढळल्या

PyPI (Python Package Index) निर्देशिकेत दुर्भावनायुक्त कोड असलेली तीन लायब्ररी ओळखण्यात आली. समस्या ओळखल्या जाण्यापूर्वी आणि कॅटलॉगमधून काढून टाकण्याआधी, पॅकेज जवळजवळ 15 हजार वेळा डाउनलोड केले गेले होते.

dpp-client (10194 डाउनलोड) आणि dpp-client1234 (1536 डाउनलोड) पॅकेजेस फेब्रुवारीपासून वितरीत केले गेले होते आणि त्यात पर्यावरण व्हेरिएबल्सची सामग्री पाठवण्यासाठी कोड समाविष्ट केला होता, ज्यात, उदाहरणार्थ, सतत एकीकरण प्रणालींमध्ये प्रवेश की, टोकन किंवा पासवर्ड समाविष्ट असू शकतात. किंवा मेघ वातावरण जसे की AWS. पॅकेजेसने बाह्य यजमानांना "/home", "/mnt/mesos/" आणि "mnt/mesos/sandbox" डिरेक्ट्रीची सामग्री असलेली सूची देखील पाठवली.

aws-login0tool पॅकेज (3042 डाउनलोड) डिसेंबर 1 रोजी PyPI रेपॉजिटरीमध्ये पोस्ट केले गेले होते आणि Windows चालवणाऱ्या होस्टचे नियंत्रण घेण्यासाठी ट्रोजन ऍप्लिकेशन डाउनलोड करण्यासाठी आणि चालविण्यासाठी कोड समाविष्ट केला होता. पॅकेजचे नाव निवडताना, "0" आणि "-" की जवळ आहेत आणि विकसक "aws-login-tool" ऐवजी "aws-login0tool" टाइप करेल अशी शक्यता आहे यावर गणना केली गेली.

समस्याप्रधान पॅकेजेस एका साध्या प्रयोगादरम्यान ओळखल्या गेल्या, ज्यामध्ये PyPI पॅकेजेसचा एक भाग (रेपॉजिटरीमधील 200 हजार पॅकेजपैकी सुमारे 330 हजार पॅकेजेस) Bandersnatch युटिलिटी वापरून डाउनलोड केले गेले, त्यानंतर grep युटिलिटीने पॅकेजेस ओळखले आणि त्यांचे विश्लेषण केले. setup.py फाइलमध्ये नमूद केलेला "import urllib.request" कॉल, सामान्यत: बाह्य होस्टना विनंत्या पाठवण्यासाठी वापरला जातो.

स्त्रोत: opennet.ru