Výzkumníci v oblasti kybernetické bezpečnosti varovali před škodlivou kampaní zaměřenou na uživatele repozitáře Python Package Index (PyPI) pomocí falešných knihoven, které se vydávají za nástroje související s „časem“, ale obsahují skryté funkce pro krádež citlivých dat, jako jsou přístupové tokeny ke cloudu.
Společnost zabývající se bezpečností softwarového dodavatelského řetězce ReversingLabs uvedla, že objevila dvě sady balíčků, celkem 20 z nich. Tyto balíčky byly dohromady staženy více než 14 100krát:
– snapshot-photo (2 448 stažení)
– time-check-server (316 stažení)
– time-check-server-get (178 stažení)
– time-server-analysis (144 stažení)
– time-server-analyzer (74 stažení)
– time-server-test (155 stažení)
– time-service-checker (151 stažení)
– aclient-sdk (120 stažení)
– acloud-client (5 496 stažení)
– acloud-clients (198 stažení)
– acloud-client-uses (294 stažení)
– alicloud-client (622 stažení)
– alicloud-client-sdk (206 stažení)
– amzclients-sdk (100 stažení)
– awscloud-clients-core (206 stažení)
– credential-python-sdk (1 155 stažení)
– enumer-iam (1 254 stažení)
– tclients-sdk (173 stažení)
– tcloud-python-sdks (98 stažení)
– tcloud-python-test (793 stažení)
První sada se týká balíčků, které se používají k nahrávání dat na infrastrukturu útočníka, zatímco druhý klastr zahrnuje balíčky implementující funkce cloudových klientů pro několik služeb, jako jsou Alibaba Cloud, Amazon Web Services a Tencent Cloud. Tyto balíčky však také využívají „časové“ balíčky k exfiltraci cloudových tajemství. Všechny identifikované balíčky byly k datu psaní tohoto článku již odstraněny z PyPI.
Další analýza odhalila, že tři z balíčků – acloud-client, enumer-iam a tcloud-python-test – byly uvedeny jako závislosti relativně populárního projektu na GitHubu s názvem accesskey_tools, který byl 42krát forknut a získal 519 hvězdiček.
Záznam v kódu odkazující na tcloud-python-test byl proveden 8. listopadu 2023, což naznačuje, že balíček byl na PyPI dostupný ke stažení od té doby. Podle statistik z pepy.tech byl balíček stažen 793krát.
Toto odhalení přichází v době, kdy Fortinet FortiGuard Labs uvedl, že objevil tisíce balíčků napříč PyPI a npm, z nichž některé obsahují podezřelé instalační skripty navržené k nasazení škodlivého kódu během instalace nebo ke komunikaci s externími servery.
Zdroj: The Hacker News
Zdroj: IT SECURITY NETWORK NEWS
Zdroj: ICT NETWORK NEWS
