Каталог Python-пакетов (PyPI) временно приостановил регистрацию пользователей и создание новых проектов в связи с продолжающейся кампанией по борьбе с вредоносным ПО.

PyPI — это каталог для проектов Python, который помогает разработчикам находить и устанавливать пакеты Python. 

Благодаря тысячам доступных пакетов, репозиторий является привлекательной целью для угроз, которые часто загружают пакеты с опечатками или поддельные пакеты, чтобы скомпрометировать разработчиков программного обеспечения и потенциальные атаки на цепочки поставок.

Подобная активность заставила администраторов PyPI объявить 28 марта, что регистрация всех новых пользователей была приостановлена, чтобы смягчить последствия вредоносной деятельности.

В отчете Checkmarx, платфоме для тестирования безопасности приложений, сообщается, что 27 марта злоумышленники начали загружать на PyPI 365 пакеты с именами, имитирующими легитимные проекты.

Пакеты содержат вредоносный код в файле 'setup.py', который запускается при установке и пытается получить дополнительную полезную нагрузку с удаленного сервера.

Чтобы избежать обнаружения, вредоносный код шифруется с помощью модуля Fernet, а URL-адрес удаленного ресурса создается динамически, когда это необходимо.

"Злоумышленники атакуют жертв с помощью техники атаки Typosquatting, используя интерфейс командной строки для установки пакетов Python", — написали в четверг исследователи Checkmarx Иегуда Гелб, Йозеф Харуш Кадури и Цачи Цорнштайн. "Это многоэтапная атака и вредоносная полезная нагрузка, направленная на кражу криптокошельков, конфиденциальных данных из браузеров (файлов cookie, данных расширений и т. д.) и различных учетных данных. Кроме того, вредоносная полезная нагрузка использовала механизм сохранения, позволяющий пережить перезагрузку".

Checkmarx публикует в своем отчете полный список найденных вредоносных записей, который содержит множество вариантов typosquatting для многих легитимных пакетов.

Согласно отчету Check Point, список вредоносных пакетов насчитывает более 500 и был развернут в два этапа. Исследователи утверждают, что каждый пакет исходил от уникальных учетных записей мейнтейнеров с разными именами и электронными адресами. Кроме того, все пакеты имели одинаковый номер версии, содержали одинаковый вредоносный код, а их имена были сгенерированы с помощью процесса рандомизации.

Этот инцидент подчеркивает важность того, чтобы разработчики программного обеспечения и сопровождающие пакетов, использующие репозитории с открытым исходным кодом, тщательно проверяли подлинность и безопасность компонентов, которые они используют в своих проектах.

Ранее на этой неделе Checkmarx сообщил об отдельной атаке на цепочку поставок , которая также была нацелена на разработчиков Python. Участники этой атаки клонировали инструмент Colorama, спрятали внутри него вредоносный код и сделали его доступным для загрузки на поддельном зеркальном сайте с опечатанным доменом, имитирующим законный домен files.pythonhosted.org. Злоумышленники взломали учетные записи популярных разработчиков, вероятно, украв используемые ими файлы cookie аутентификации. Затем они использовали захваченные учетные записи для внесения вредоносных коммитов, которые включали инструкции по загрузке вредоносного клона Colorama.