Nieuws
image

Kwaadaardige software uit Python Package Index verwijderd

maandag 29 oktober 2018, 14:34 door Redactie, 1 reacties

Opnieuw zijn er in de Python Package Index (PyPI), de officiële locatie voor Python-software, verschillende kwaadaardige packages ontdekt en vervolgens verwijderd. Python is een populaire programmeertaal en PyPI bevat allerlei software die door de Python-gemeenschap is ontwikkeld.

Vorig jaar vond het Computer Security Incident Response Team van de Slowaakse overheid (SK-CSIRT) allerlei kwaadaardige packages die aan PyPI waren toegevoegd. Nu blijkt dat aanvallers dat opnieuw hebben gedaan, zo ontdekte een onderzoeker genaamd Bertus. De aanvallers creëerden kwaadaardige packages met een naam die op bestaande packages leken. Deze packages werden vervolgens aan PyPI toegevoegd.

Als gebruikers bij het installeren van een package een typefout maakten, installeerden ze de kwaadaardige package. De packages deden verschillende zaken. Sommigen injecteerden code in het bestand .bashrc anderen stuurden een ping terug naar de server en één opende een reverse shell. Ook was er een package die probeerde om bitcoinadressen in het clipboard aan te passen. Als een slachtoffer een bitcointransactie zou willen uitvoeren zou op deze manier het geld naar de verkeerde bitcoinwallet worden overgemaakt.

De eerste 11 kwaadaardige packages werden begin oktober ontdekt en verwijderd. De twaalfde kwaadaardige package, die bitcoinadressen in het clipboard aanpaste, werd al sinds december 2017 via PyPI aangeboden en op 22 oktober verwijderd.

Image

Reacties (1)
30-10-2018, 04:46 door Anoniem
Op zich is PyPI niet meer dan een plek waar ontwikkelaars pakketten beschikbaar kunnen stellen. Het is geen streng gecontroleerde repository en goed op elkaar afgestemde verzameling pakketten op de manier waarop een goede Linux-distro dat is, het is meer een centraal doorgeefluik voor wie iets beschikbaar wil stellen. Vanuit PyPI heb je garantie tot aan de deur dus.

Dat is jammer omdat PyPI tegelijk ook erg nuttig is. Ik snap dat het een veelvoud van de huidige inspanning vergt om betrouwbaarheidsgaranties te kunnen geven en ik snap dus ook dat dat niet gebeurt. Ik vind wel dat PyPI veel meer mag benadrukken dat de aanwezigheid van een pakket in de repository geen enkele kwaliteitsgarantie impliceert.

Deze Bertus heeft kennelijk de intentie om PyPI veiliger te maken (dat zegt hij met zoveel woorden in de gelinkte twitter-feed). Mooi dat er iemand opstaat die zich geroepen voelt zich daarvoor in te spannen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search