Python-paketarkivet PyPI (Python Package Index) har tillfÀlligt förbjudit registrering av nya anvÀndare och skapande av nya projekt pÄ grund av en pÄgÄende massinladdning av skadliga paket under en automatiserad attack. Blockeringen infördes efter att 566 paket med skadlig kod laddades upp till arkivet den 26 och 27 mars, stiliserade efter 16 populÀra Python-bibliotek.
Paketnamnen Àr skapade med hjÀlp av typning, dvs. tilldelning av liknande namn som skiljer sig med enskilda tecken, exempelvis temsorflow istÀllet för tensorflow, requyests istÀllet för requests, asyincio istÀllet för asyncio osv. Vid sÄdana attacker rÀknar gÀrningspersonerna med ouppmÀrksamma anvÀndare som gör stavfel eller inte lÀgger mÀrke till skillnader i namnet nÀr de söker eller följer en lÀnk frÄn forum och chattar dÀr gÀrningspersonerna lÀmnar vilseledande instruktioner.
Skadliga paket baseras pÄ koden frÄn legitima bibliotek, dÀr enskilda Àndringar införs som installerar skadlig programvara i systemet, vilken söker och skickar konfidentiell information och filer som innehÄller lösenord, Ätkomstnycklar, kryptovaluta-plÄnböcker, tokens och session-cookies. Den skadliga koden integreras i filen setup.py, som körs under installationen av paketet. Vid aktivering laddar den införda Àndringen ner de skadliga komponenterna frÄn externa servern.
Under tvÄ dagar har gÀrningspersonerna laddat upp 29 skadliga varianter av paketet tensorflow, 26 av BeautifulSoup, 26 av PyGame, 15 av SimpleJson, 38 av Matplotlib, 26 av PyTorch, 67 av CustomTKInter, 28 av selenium, 17 av playwright, 15 av asyncio och 67 av requirements. Dessutom har enskilda fall av förfalskningar av biblioteken requests, py-cord, colorama, capmonstercloudclient, pillow och bip-utils identifierats.
Det noteras sÀrskilt en attack mot gemenskapen Top.gg, som har 170 tusen anvÀndare. Under attacken lyckades gÀrningspersonen kompromettera ett GitHub-konto tillhörande en av utvecklarna av top.gg, genom att stjÀla webblÀsarcookies. Angriparen lade Àven till tre paket i PyPI-arkivet och registrerade domÀner pypihosted.org och pythonhosted.org, dÀr en spegel för distribution av den skadliga beroende till paketen organiserades.
Genom ett hackat konto i GitHub-repositoriet för projektet top.gg, dÀr Python-bindningen över API Top.gg lÄg, gjordes en Àndring som lade till filen requirements.txt. I filen fanns en lista över laddade beroenden, dÀr en skadlig klon av paketet "colorama" lÀnkades som en beroende frÄn ett spegel, placerat pÄ den falska domÀnen pypihosted.org, i hopp om att utvecklarna inte skulle mÀrka skillnaden frÄn den legitima domÀnen pythonhosted.org, frÄn vilken paket vanligtvis laddas ner frÄn PyPI.
KĂ€lla: opennet.ru
