The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения только ответов первого уровня [ Отслеживать ]

Оглавление

В каталоге PyPI выявлены вредоносные библиотеки, использующие CDN PyPI для скрытия канала связи , opennews (?), 20-Ноя-21, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


1. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +2 +/
Сообщение от 918 (?), 20-Ноя-21, 10:04 
> Сервер атакующих также регистрируется в CDN Fastly, который предоставляет всем желающим бесплатные тарифные планы и даже допускает анонимную регистрацию.

с ребятами в масках Гая Фокса шутки плохи

Ответить | Правка | Наверх | Cообщить модератору
есть ответы, показать

3. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  –3 +/
Сообщение от Аноним (3), 20-Ноя-21, 10:13 
>Фактически запросы отправлялись на сервер pypi.python.org, но при этом в HTTP-заголовок "Host" выставлялось имя сервера, подконтрольного атакующим (sec.forward.io.global.prod.fastly.net).

Неужели телеграм ещё не поработал над созданием предлога для их запрета в РФ?

Ответить | Правка | Наверх | Cообщить модератору
есть ответы, показать

4. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +12 +/
Сообщение от Аноним (3), 20-Ноя-21, 10:26 
Есть ещё один способ скрытия. Изготавливается пакет. С сорцами на гитхабе. Легитимно выглядящий. В сорцах нет ничего лишнего. Только pickle используется "для ускорения", pickles строятся во время сборки пакета. Pull requestы, выпиливающие pickle, закрываются с мотивацией "я тут автор, и я решаю, что в моём пакете будет".

А дальше если в пакет на pypi в встроенные в wheel pickles внести вредоносный код, никто и не обнаружит. Мало того, что почти никто не смотрит пакеты на pypi, так ещё pickles - это бинарник, для анализа которого инструментария нормального нет. Соответственно статические анализаторы, которые почти все заточены под исключительно исходник, его пропустят.

Ответить | Правка | Наверх | Cообщить модератору
есть ответы, показать

6. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +3 +/
Сообщение от Аноним (3), 20-Ноя-21, 10:41 
>yandex-yt (4183) - выводил сообщение о компрометации системы и перенаправлял на страницу с дополнительной информацией о дальнейших действиях, выдаваемой через nda.ya.ru (api.ya.cc).

Похоже, что кто-то получил награду в bug bounty.

Ответить | Правка | Наверх | Cообщить модератору
есть ответы, показать

8. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +3 +/
Сообщение от Аноним (74), 20-Ноя-21, 11:09 
Красиво.
Ответить | Правка | Наверх | Cообщить модератору

10. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +1 +/
Сообщение от Онаним (?), 20-Ноя-21, 11:30 
Ахах, очередная бочка дерьма в ложке мёда всяких пипи с нпмами.
Ничего, нормально, пусть хавают.
Ответить | Правка | Наверх | Cообщить модератору
есть ответы, показать

14. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +7 +/
Сообщение от Аноним (14), 20-Ноя-21, 12:49 
Шутка о том, что «чтобы вирус попал на машину с Linux, нужно чтобы пользователь САМ его скачал, собрал и установил» перестаёт быть просто шуткой.
Ответить | Правка | Наверх | Cообщить модератору
есть ответы, показать

23. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +2 +/
Сообщение от lockywolf (ok), 20-Ноя-21, 13:32 
Fastly не запрещают domain fronting? Зайки какие.
Ответить | Правка | Наверх | Cообщить модератору

35. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  –1 +/
Сообщение от кек (?), 20-Ноя-21, 14:31 
Я на хрюникс перешёл, чтобы не качать программы откуда попало, кроме Хрума отродясь не из реп не качал ничего, вы чего?)
Ответить | Правка | Наверх | Cообщить модератору
есть ответы, показать

67. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +/
Сообщение от Аноним (74), 20-Ноя-21, 18:48 
А в Go такое может быть?
Ответить | Правка | Наверх | Cообщить модератору
есть ответы, показать

75. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +/
Сообщение от Аноноша (?), 20-Ноя-21, 22:18 
> yandex-yt (4183) - выводил сообщение о компрометации системы и перенаправлял на страницу с дополнительной информацией о дальнейших действиях, выдаваемой через nda.ya.ru (api.ya.cc).

Похоже, что кто-то опубликовал внутренний модуль наружу. А через nda.ya.ru оборачиваются ссылки на внутренние ресурсы.

Ответить | Правка | Наверх | Cообщить модератору
есть ответы, показать

96. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +/
Сообщение от Аноним (96), 21-Ноя-21, 15:20 
> DNS-запросы вида "nu4timjagq4fimbuhe.example.com", в которых при помощи формата base64

С base64 имя может оказаться некорректным же. Видимо речь о base62.

Ответить | Правка | Наверх | Cообщить модератору

109. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +/
Сообщение от pda (ok), 21-Ноя-21, 22:24 
"yiffparty" - название пакета интригует...
Ответить | Правка | Наверх | Cообщить модератору

111. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +1 +/
Сообщение от Аноним (110), 22-Ноя-21, 09:01 
Объясните кто-нибудь, а как такая фича вообще может работать?

> Фактически запросы отправлялись на сервер pypi.python.org (в том числе, указывая имя python.org в SNI внутри запроса HTTPS), но при этом в HTTP-заголовок "Host" выставлялось имя сервера, подконтрольного атакующим (sec.forward.io.global.prod.fastly.net). Сеть доставки контента направляла подобный запрос на сервер атакующих, используя при передаче данных параметры TLS-соединения с pypi.python.org.

Это багофича конкретной CDN или особенность http/https протокола вообще?

Ответить | Правка | Наверх | Cообщить модератору
есть ответы, показать

132. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."  +/
Сообщение от ммнюмнюмус (?), 05-Дек-21, 19:37 
Что теперь будет с пакетами, чьи сценарии ставят питон-пакеты с pypi O_o
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру