Zlonamerni PyPI paketi pretvarali računare programera u mašine za rudarenje kriptovaluta

Ove nedelje, više zlonamernih paketa je pronađeno u spremištu PyPI za Python projekte koji su računare programera pretvarali u mašine za rudarenje kriptovaluta. Sve zlonamerne pakete objavio je isti nalog i prevario programere da ih preuzmu hiljadama puta koristeći pogrešno napisana imena legitimnih Python projekata.

Sve potiču od korisnika „nedog123“ i imena većine njih su pogrešno napisane verzije legitimnog matplotlib softvera, poput maratlib, maratlib1, matplatlib-plus i slično. Za svaki od ovih paketa zlonamerni kod je sadržan u datoteci setup.py koja je skripta za izgradnju koja se pokreće tokom instalacije paketa.

U ovom slučaju, Sonatype je otkrio šest zlonamernih paketa nakon skeniranja PyPI spremišta svojim automatskim sistemom za otkrivanje malvera. U trenutku otkrivanja problema, zlonamerni paketi su imali skoro 5.000 preuzimanja.

Napadači neprestano ciljaju spremišta otvorenog koda poput PyPI, NPM za NodeJS ili RubyGems. Čak iako se zlonamerni softver otkrije na vreme, kada je broj preuzimanja još uvek nizak, kao što je obično slučaj, postoji značajan rizik jer programeri mogu da integrišu zlonamerni kod u široko korišćene projekte.

Izvor: Bleeping Computer