Pacotes de malware enviados para o repositório PyPI

Um serviço que deveria ser útil para desenvolvedores vem dando dor de cabeça. Cada vez mais, os desenvolvedores estão recorrendo a repositórios e gerenciadores de pacotes para gerenciar dependências para muitos de seus projetos de programação. Assim, os usuários NodeJS têm NPM (Node Package Manager), e os usuários Python têm vários repositórios, como Conda ou PyPI (Python Package Index). Só que os hackers também acharam a ideia bem interessante e passaram a hospedar códigos maliciosos por lá. Recentemente, foi descoberto que pacotes de malware foram enviados para o repositório PyPI e já causam preocupação.

Infelizmente, além de tornar a vida muito mais fácil para muitos desenvolvedores, esses tipos de plataformas também oferecem gateways importantes para malware. Nas palavras de JFrog CTO Asaf Karas.

A descoberta contínua de pacotes de software malicioso em repositórios populares como o PyPI é uma tendência alarmante que pode levar a ataques generalizados na cadeia de abastecimento. […] Estamos enfrentando uma ameaça sistêmica.

Pacotes de malware enviados para o repositório PyPI. Oito bibliotecas retiradas do PyPI

Nesse caso, na verdade, foram os administradores do PyPI que tiveram que eliminar, ao longo desta semana, até oito bibliotecas, após serem notificados pela equipe de segurança do JFrog de que continham código malicioso.

Dois dos pacotes (pytagora e pytagora2 , carregados pelo usuário ‘leonora123’) permitiam ataques RCE (execução remota de código) conectando o computador da vítima à porta TCP 9009 e facilitando a execução de comandos maliciosos nele.

Seis outros pacotes (noblesse, genesisbot, are, sofrem, noblesse2 e noblessev2 , desenvolvidos pelos usuários ‘xin1111’ e ‘sofre’) agiram como ladrões de dados: uma vez instalados, eles coletaram dados do computador pesquisando tokens do Discord para o sistema de informação geral (Endereço IP, computador e nome de usuário, chave de licença, versão do Windows etc) …