Центр национальной компьютерной безопасности Словакии опубликовал (http://www.nbu.gov.sk/skcsirt-sa-20170909-pypi/) уведомление о выявлении 10 вредоносных пакетов в каталоге PyPI (https://pypi.python.org). Имена вредоносных пакетов выбраны похожими на популярные Python-библиотеки, но отличаются незаметными сразу деталями. Например, вредоносные пакеты urllib и urlib3 камуфлируют под известную библиотеку urllib3. Примечательно, что используемый при создании данных модулей метод тайпсквотинга (https://www.opennet.ru/opennews/art.shtml?num=44576) известен уже давно, в том числе в PyPI ранее уже размещался и удалялся вредоносный пакет с именем urllib, но какой-либо защиты от повторной регистрации предпринято не было.
Распространяющие вредоносные пакеты злоумышленники рассчитывают на невнимательность разработчиков, которые по недосмотру устанавливают фиктивные пакеты (например, более логичным выглядит поставить urllib и bzip вместо настоящих urllib3 и bzip2). Периодически после жалоб пользователем вредоносные пакеты вычищаются из PyPI, но затем добавляются вновь. Выявленная порция вредоносных пакетов была помещена в PyPI в июне и за несколько месяцев данные модули по ошибке были задействованы в различных новых приложениях.
Вредоносные пакеты включают в себя копию кода оригинальной библиотеки, но отличаются модифицированным установочным скриптом setup.py. В момент установки модуля активируется вредоносная вставка, которая отправляет сведения о подставном пакете, пользователе и хосте на внешний сервер. Например, при установке пакета urllib-1.21.1 пользователем root на хосте testmachine, будет отправлена строка
"Y:urllib-1.21.1 root testmachine", которая дополнительно маскируется при помощи операции XOR и кодирования методом base64.
Так как по сути выполняется лишь накопление статистики и модификации пакетов относительно безобидны можно предположить, что умысел в добавлении подобных модулей заключается в демонстрации проблем в организации работы каталога PyPI, в котором отсутствует проверка по цифровой подписи и должным образом не налажен процесс рецензирования новых модулей и оценки их качества.
Список подставных модулей:
- acqusition (загружен 2017-06-03 01:58:01, подражает acquisition)
- apidev-coop (загружен 2017-06-03 05:16:08, подражает apidev-coop_cms)
- bzip (загружен 2017-06-04 07:08:05, подражает bz2file)
- crypt (загружен 2017-06-03 08:03:14, подражает crypto)
- django-server (загружен 2017-06-02 08:22:23, подражает django-server-guardian-api)
- pwd (загружен 2017-06-02 13:12:33, подражает pwdhash)
- setup-tools (загружен 2017-06-02 08:54:44, подражает setuptools)
- telnet (загружен 2017-06-02 15:35:05, подражает telnetsrvlib)
- urlib3 (загружен 2017-06-02 07:09:29, подражает urllib3)
- urllib (загружен 2017-06-02 07:03:37, подражает urllib3)Для проверки их наличия можно воспользоваться командой:
pip list --format=legacy | egrep '^(acqusition|apidev-coop|bzip|crypt|django-server|pwd|setup-tools|telnet|urlib3|urllib)'
После отправки уведомления администраторам PyPI выявленные модули были немедленно удалены. Уже установленные пользователями пакеты требуют ручного удаления. При этом должных мер по предотвращению появления подобных вредоносных моделей в PyPI не принято, так как энтузиасты легко смогли разместить (https://www.pytosquatting.org/) фиктивный модуль urllib2 (https://pypi.python.org/pypi/urllib2/1505291288.714008), который находится в PyPI и поныне. Кроме urllib2 было размещено (https://www.pytosquatting.org/) ещё 20 пакетов с именами подобными random, codecs, smtplib и т.п. Только для одного urllib2 зафиксировано 1144 попыток установки за день. Всего 20 подставных модулей за несколько дней попытались установить 6861 раз. Подобная статистика в целом близка к результатам, полученным в результате прошлогоднего эксперимента (https://www.opennet.ru/opennews/art.shtml?num=44576) по тайпсквотингу в PyPI.
URL: https://news.ycombinator.com/item?id=15256121
Новость: https://www.opennet.ru/opennews/art.shtml?num=47211
Было бы им неплохо научиться в алиасы: я бы поставил setup-tools вместо setuptools.
Но и в проверку подлинности, кончено.
Там разве нет премодерации?
Зачем? Это ж её сколько времени ждать придётся! А продакшн не терпит.
> А продакшн не терпит.Смузи не ждет!
> Там разве нет премодерации?На гитхабе разве нет премодерации?
> pipКто это использует? Пользователи windows?
> Кто это использует? Пользователи windows?Например пользователи ubuntu, потому что замечательные разработчики
даже не запускают пакеты перед тем как их запаковать и выложить.
Пользователи Python
>В момент установки модуля активируется вредоносная вставка, которая отправляет сведения о подставном пакете, пользователе и хосте на внешний сервер.Расходимся. Это около ~5 лет назад один чувак уже предупреждал о тайпсквоттинге и запихал туда несколько пакетов, включая вариации на тему urllib, которые отсылали инфу на его сервер. По результатам написал статью.
> Центр национальной компьютерной безопасности Словакии опубликовал (http://www.nbu.gov.sk/skcsirt-sa-20170909-pypi/)
> логичным выглядит поставить urllib и bzip вместо настоящих urllib3 и bzip2).
> Периодически после жалоб пользователем вредоносные пакеты вычищаются из PyPI, но затем
> pip list --format=legacy | egrep '^(acqusition|apidev-coop|bzip|crypt|django-server|pwd|setup-tools|telnet|urlib3|urllib)'Какой-то regex неправильный, только что говорилось что urllib3 и тут же
дается regex под который он подходит, добавьте тогда ужegrep -v '^(urllib3|bzip2)'
в pipe
> pip list --format=legacy | egrep '^(acqusition|apidev-coop|bzip|crypt|django-server|pwd|setup-tools|telnet|urlib3|urllib)'
> Какой-то regex неправильный, только что говорилось что urllib3 и тут же
> дается regex под который он подходит, добавьте тогда ужВы только что наглядно продемонстрировали потенциал подобных атак и не заметили отличий даже прочитав в чём суть.
Hint: Правильный urllib3 с двумя буквами "l" (urllib3), а в регекспе с одной (urlib3).
Регулярка ^urllib матчит urllib3.
Там пробел после скобки закрывающей, получается "^urllib ".
Выскажу непопулярное мнение.
Тайпсквоттинг имён пакетов — проблема пользователей, а не хранилища. Мы это уже проходили с npmjs, а с DNS-тайпсквоттингом уже не одно десятилетие живём.То, что репозиторий удаляет якобы (и даже не совсем) вредоносные пакеты — исключительно милость его владельцев, но не будут они вечно подтирать сопли нерадивым пользователям. В конце концов, это дорого.
Вахтерствующим с премодерацией искренне желаю запилить свой репозиторий, и больше не читать до завтрака советских газет.
> Центр национальной компьютерной безопасности СловакииВот самое странное в новости, что ее источник именно эта всемирно известная организация:(
Ожидал "установка пакетов только из дистрибутива баттл", аноны огорчают
Линукс безопасен благодаря честным хакерам, которые выкладывают безопасные вирусы =)
ЗЫ: могли бы сразу несколько имен для пакета регистрировать., ну или рейтинг закачек хотя бы показывать
Рейтинг и так есть. Суть же в том, что пакеты через браузер качают чуть реже чем никогда, всё из setup.py и pip.
"Я слышал много д---льных рэперских кличек, но Энди Картрайт..." (с)Блин, более невменяемые названия пакетов просто сложно придумать.
именно поэтому следует ставить из гитхаба, а не из pip
> именно поэтому следует ставить из гитхаба, а не из pipТонко. Но ты ж знал? https://www.opennet.ru/opennews/art.shtml?num=47216
Не работает:
pip list --format=legacy | egrep '^(acqusition|apidev-coop|bzip|crypt|django-server|pwd|setup-tools|telnet|urlib3|urllib) 'Usage:
pip list [options]no such option: --format
> Не работает:
> no such option: --format
>
pip install --upgrade pip
-- https://duckduckgo.com/?q=pip+update+pip&t=ffab&ia=qa