{"id":170057,"date":"2026-04-29T00:24:33","date_gmt":"2026-04-28T22:24:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-python-paket-elementary-data-imeyushhij-1-1-mln-zagruzok-v-mesyacz-vnedryon-vredonosnyj-kod"},"modified":"2026-04-29T00:24:33","modified_gmt":"2026-04-28T22:24:33","slug":"v-python-paket-elementary-data-imeyushhij-1-1-mln-zagruzok-v-mesyacz-vnedryon-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/v-python-paket-elementary-data-imeyushhij-1-1-mln-zagruzok-v-mesyacz-vnedryon-vredonosnyj-kod","title":{"rendered":"No pacote Python elementary-data, que possui 1,1 milh\u00e3o de downloads por m\u00eas, foi inserido c\u00f3digo malicioso","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A empresa Elementary Data informou sobre a compromiss\u00e3o dos processos do GitHub Actions, onde atacantes conseguiram publicar no reposit\u00f3rio PyPI e no reposit\u00f3rio do GitHub a vers\u00e3o 0.23.3 do pacote elementary-data, que continha c\u00f3digo malicioso para roubar informa\u00e7\u00f5es confidenciais dos sistemas dos usu\u00e1rios. A vers\u00e3o maliciosa tamb\u00e9m foi inclu\u00edda na imagem oficial do Docker do projeto. No m\u00eas passado, o pacote elementary-data foi baixado mais de 1,1 milh\u00e3o de vezes do reposit\u00f3rio PyPI. <\/p>\n
A vers\u00e3o maliciosa foi publicada em 25 de abril \u00e0s 1:20 (MSK) e permaneceu dispon\u00edvel para download por mais de 11 horas (at\u00e9 12:45). O ataque foi realizado atrav\u00e9s do envio de um pull request com um coment\u00e1rio formatado especialmente, explorando uma vulnerabilidade no manipulador do GitHub Action que \u00e9 chamado automaticamente. Os atacantes conseguiram executar comandos shell no ambiente de integra\u00e7\u00e3o cont\u00ednua e extrair o conte\u00fado da vari\u00e1vel de ambiente GITHUB_TOKEN, que possui o token de acesso ao reposit\u00f3rio. Esse token foi utilizado para criar v\u00e1rias branches no git e preparar a vers\u00e3o.<\/p>\n
O release publicado pelos atacantes inclu\u00eda c\u00f3digo malicioso codificado em formato base64, ativado durante a instala\u00e7\u00e3o do pacote. O c\u00f3digo malicioso fazia a varredura do sistema e enviava dados confidenciais, como chaves SSH e SSL\/TLS, conte\u00fado de vari\u00e1veis de ambiente, credenciais da AWS, GCP, Azure e K8s, chaves de carteiras criptogr\u00e1ficas, senhas de bancos de dados, hist\u00f3rico de opera\u00e7\u00f5es no interpretador de comandos, arquivos de configura\u00e7\u00e3o do Git, CI\/CD, gerenciadores de pacotes e Docker. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"