Nel mondo dinamico dello sviluppo open source, una nuova minaccia si insinua nella sicurezza dei progetti. Recentemente, esperti di cybersecurity hanno scoperto una campagna malevola nel popolare Python Package Index (PyPI). L'attacco avviene tramite librerie ingannevoli, camuffate da utility legate al "tempo", con il vero scopo di rubare credenziali sensibili, specialmente i token di accesso ai servizi cloud.
Scoperta di Pacchetti Malevoli e Impatto
Il ruolo di ReversingLabs
La società di sicurezza ReversingLabs ha identificato due gruppi di pacchetti malevoli, per un totale di 202 pacchetti. Questi pacchetti sono stati scaricati oltre 14.100 volte.
- Il primo gruppo caricava dati verso l'infrastruttura degli aggressori.
- Il secondo gruppo implementava funzionalità di client cloud per vari servizi, tra cui:
- Alibaba Cloud
- Amazon Web Services (AWS)
- Tencent Cloud
Tutti i pacchetti identificati sono stati rimossi da PyPI.
Connessioni con Progetti GitHub
Ulteriori analisi hanno rivelato che tre pacchetti malevoli erano dipendenze di un progetto GitHub relativamente popolare chiamato accesskey_tools. Questo progetto contava 42 fork e 519 stelle.
Pacchetti coinvolti
I pacchetti in questione erano:
- acloud-client
- enumer-iam
- tcloud-python-test
Un commit nel codice sorgente di tcloud-python-test risaliva all'8 novembre 2023, suggerendo che il pacchetto fosse disponibile su PyPI da allora. Secondo pepy.tech, il pacchetto è stato scaricato 793 volte.
Aumento delle Minacce alla Supply Chain Software
Crescente pericolo nei repository open source
Questa scoperta si inserisce in un contesto di crescenti minacce alla supply chain software. Secondo Fortinet FortiGuard Labs, migliaia di pacchetti sospetti sono stati rilevati su PyPI e npm, alcuni contenenti:
- Script di installazione sospetti per distribuire codice dannoso
- Meccanismi di comunicazione con server esterni
Segnali di Allarme: URL Sospette
Secondo l'esperta di cybersecurity Jenna Wang, uno degli indicatori chiave di pacchetti dannosi è la presenza di URL sospette. Queste possono essere utilizzate per:
- Scaricare ulteriori payload malevoli
- Stabilire comunicazione con server di comando e controllo (C&C)
- Esfiltrare dati sensibili
Wang ha evidenziato che 974 pacchetti contenevano URL collegate a esfiltrazione di dati, download di malware e altre azioni malevole.
Conclusioni e Raccomandazioni
Questo episodio sottolinea l'importanza della sicurezza nella supply chain software. Per proteggersi, gli sviluppatori e le aziende dovrebbero:
- Verificare sempre l'origine e l'integrità dei pacchetti
- Monitorare costantemente le dipendenze
- Prestare attenzione a segnali d'allarme come URL sospette
La rimozione dei pacchetti malevoli è un passo importante, ma la consapevolezza e la prevenzione rimangono essenziali per proteggersi da future minacce.