Utvecklarna av Packj-plattformen, som analyserar sÀkerheten hos bibliotek, har publicerat ett öppet kommandoradsverktyg som möjliggör identifiering av riskabla konstruktioner i paket som kan relateras till genomföring av skadlig aktivitet eller förekomst av sÄrbarheter som anvÀnds för att attackera projekt som anvÀnder de aktuella paketen ("supply chain"). Stöd ges för att kontrollera paket pÄ sprÄken Python och JavaScript, som finns i katalogerna PyPi och NPM (denna mÄnad planeras ocksÄ stöd för Ruby och RubyGems att lÀggas till). Verktygets kod Àr skriven i Python och distribueras under AGPLv3-licensen.
I analysen av 330 000 paket med det föreslagna verktyget i PyPi-repositories identifierades 42 skadliga paket med bakdörrar och 2,4 tusen riskabla paket. I undersökningsprocessen utförs en statisk kodanalys för att identifiera API-egenskaper och bedöma förekomsten av kÀnda sÄrbarheter, som Àr noterade i OSV-databasen. MalOSS-paketet anvÀnds för API-analys. Paketens kod analyseras för att upptÀcka typiska mönster som vanligtvis anvÀnds i skadlig programvara. Mönstren har förberetts utifrÄn studier av 651 paket med verifierad skadlig aktivitet.
Dessutom identifieras attribut och metadata som ökar risken för oönskad anvÀndning, sÄsom körning av block genom "eval" eller "exec", generering av ny kod under körning, anvÀndning av tekniker för kodfördoldning och fördold kod (obfuscated), manipulation av miljövariabler, oönskad Ätkomst till filer, anrop till nÀtverksresurser i installationsskript (setup.py), anvÀndning av typesquatting (tilldelning av namn som liknar namn pÄ populÀra bibliotek), identifiering av förÄldrade och övergivna projekt, angivande av icke-existerande e-postadresser och webbplatser, samt brist pÄ offentligt kodrepository.
Det kan ocksÄ noteras att andra sÀkerhetsforskare har identifierat fem skadliga paket i PyPi-repositoriet som skickade server innehÄllet i miljövariabler med avsikt att stjÀla tokens till AWS och system för kontinuerlig integration: loglib-modules (presenterades som moduler till det legitima biblioteket loglib), pyg-modules, pygrata och pygrata-utils (presenterades som tillÀgg till det legitima biblioteket pyg) samt hkg-sol-utils.
KĂ€lla: opennet.ru
