محققان JFrog می‌گویند: «عدم تعدیل و کنترل‌های امنیتی خودکار در مخازن نرم‌افزار عمومی، حتی به مهاجم‌های بی‌تجربه هم اجازه می‌دهد از آن برای توزیع و نشر بد‌افزار استفاده کنند.»
PyPi ،مخفف Python Package Index، یک مخزن نرم‌افزار برای پایتون است که ابزارهای مدیریت بسته مانند pip از آن به عنوان منبع پیش‌فرض بسته‌‌ها و دپندنسی آنها استفاده می‌‌کنند.
بستههای مورد بحث در زیر لیست شده‌اند:
- pytagora (uploaded by leonora123)
- pytagora2 (uploaded by leonora123)
- noblesse (uploaded by xin1111)
- genesisbot (uploaded by xin1111)
- are (uploaded by xin1111)
- suffer (uploaded by suffer)
- noblesse2 (uploaded by suffer)
- noblessev2 (uploaded by suffer)
بستههای فوق به مهاجمان امکان اجرای کد از راه دور روی ماشین کاربر را می‌دهند، جمع‌آوری اطلاعات، سرقت داده‌های حساس مانند اطلاعات کارت اعتباری و رمزعبورهایی که روی مرورگرها ذخیره می‌شوند، سرقت توکن دیسکورد جهت جعل هویت و غیره.
مدیر ارشد JFrog همچنین گفت: «بستههای نرم‌افزاری مخرب در مخازن معروف مانند PyPi زنگ هشداری است، زیرا می‌تواند منجر به حملات گسترده شود. مدیر مخزن و توسعه دهندگان هر دو باید بیشتر احتیاط کنند.»
«اقدامات پیشگیرانه مانند استفاده از ابزارهای اسکن خودکار امنیتی برای پیدا کردن کد مشکوک و تائید امضای کتابخانه باید بخش جدایی‌ناپذیر پایپ‌لایت CI/CD باشد.»
منبع:
https://thehackernews.com/2021/07/several-malicious-typosquatted-python.html
هنوز نظری ثبت نشده است. شما اولین نظر را بنویسید.