Il team di PyPI (Python Package Index) ha temporaneamente sospeso nuovi progetti e utenti sulla propria piattaforma a causa di attività dannose.

Questa ondata di attività dannose si allinea a una tendenza più ampia osservata negli ultimi mesi in diversi registri open-source. In particolare, incidenti come l’ondata di pacchetti dannosi sul gestore di pacchetti JavaScript NPM e un attacco simile al gestore di pacchetti Nuget lo scorso anno, che ha coinvolto oltre 140.000 pacchetti dannosi, hanno evidenziato la vulnerabilità di queste piattaforme.

PyPI ha registrato un improvviso picco di pubblicazioni di pacchetti la scorsa settimana. Ad esempio, un attore minaccioso ha sfruttato tre account utente per pubblicare numerosi pacchetti dannosi, tra cui uno chiamato “OaxStealer”. Questo pacchetto conteneva codice codificato che, una volta eseguito, scaricava un secondo malware da un servizio legittimo chiamato “replit.com”.

Il malware scaricato era progettato per rubare informazioni sensibili alle vittime, tra cui credenziali, nomi di file e screenshot.

In particolare, gli aggressori hanno utilizzato la piattaforma SaaS legittima Replit come server di comando e controllo (C2) per raccogliere i dati rubati.

Indagando sull’account dell’aggressore, i ricercatori della società di test sulla sicurezza delle applicazioni Checkmarx hanno scoperto il codice completo del server C2 e i file .exe utilizzati nell’attacco.

Questo incidente serve a ricordare che l’abuso dei registri open-source non è limitato solo a PyPI, ma rappresenta una minaccia più ampia per l’intero ecosistema. È fondamentale spostare l’attenzione dal solo rilevamento degli attacchi all’identificazione degli aggressori che si celano dietro queste attività dannose.

Checkmarx osserva che la comprensione delle tattiche, delle tecniche e delle procedure (TTP) utilizzate dagli aggressori è essenziale per difendersi efficacemente da questi attacchi.

Per garantire la sicurezza dell’ecosistema open-source, è indispensabile che la comunità investa nello sviluppo di nuove infrastrutture e nella condivisione dei dati sugli attacchi. Sostenere gli sforzi di piattaforme come PyPI è fondamentale per la prosperità dell’ecosistema open-source.

Gli sviluppatori e le organizzazioni alla ricerca di framework sicuri sono incoraggiati a esplorare iniziative come OpenSSF S2C2F e progetti comunitari come l’estensione Overlay, che aiutano gli sviluppatori a valutare i pacchetti open source prima di sceglierli.