Whack-a-Mole: pacchetti PyPI più dannosi nascono nel mirino di Discord, Roblox

Solo una settimana dopo che 10 pacchetti software dannosi sono stati trovati nidificati nel repository Python Package Index (PyPI), ne sono venuti alla luce molti altri, scoperti da diverse aziende. Sta diventando un po' un esercizio da colpire la talpa, eliminare il codice cattivo solo per trovarne altri al suo posto.

Nella divulgazione della scorsa settimana, i ricercatori di Check Point trovato pacchetti trojanizzati imitando componenti legittimi popolari, contenenti contagocce per malware che rubano informazioni. Ciò ha spinto gli analisti di Kaspersky a setacciare ulteriormente il repository open source, il che ha portato alla scoperta di altre due offerte canaglia, soprannominate "pyrequests" e "ultrarequests", che pretendevano di essere uno dei pacchetti più popolari in PyPI (che è semplicemente chiamato "richieste").

"L'attaccante ha utilizzato una descrizione del pacchetto 'richieste' legittimo per indurre le vittime a installarne uno dannoso", secondo Kaspersky Analisi del martedì. “La descrizione contiene statistiche false, come se il pacchetto fosse stato installato 230 milioni di volte in un mese e avesse più di 48,000 stelle su GitHub. La descrizione del progetto fa anche riferimento alle pagine web del pacchetto delle richieste originali, così come all'e-mail dell'autore. Tutte le menzioni del nome del pacchetto legittimo sono state sostituite con il nome di quello dannoso."

Se installato, il risultato è un'infezione W4SP Stealer, attraverso la quale gli aggressori possono rubare token Discord, cookie salvati e password dai browser in thread separati.

Nel frattempo, i ricercatori di Snyk martedì risultati pubblicati circa una dozzina di pacchetti PyPI dannosi volti a rubare le credenziali e le informazioni di pagamento degli utenti di Discord e Roblox. Secondo Kyle Suero, il principale ricercatore di Snyk sul rapporto, il malware tenterà anche di rubare i dati di Google Chrome o rubare password e segnalibri dalle macchine Windows per ruotare su tutti gli account.

Tutti i pacchetti offensivi sono stati rimossi da PyPI; tuttavia, non è chiaro quante volte siano stati scaricati prima.

Attacchi ai repository di codice continua a nevicare. Secondo ReversingLabs, attacchi a npm e PyPI sono aumentati collettivamente da 259 nel 2018 a 1,010 nel 2021, un aumento del 290%.

"Finché continuiamo a ignorare il nocciolo del problema, ovvero come ti fidi del codice, non gestiamo la sicurezza della catena di fornitura del software", ha affermato Tomislav Peričin, co-fondatore e chief software architect di ReversingLabs, ha affermato in un rapporto recente.