Detectan Código Malicioso en la Plataforma PyPI

3 minuto(s)

La empresa de ciberseguridad Phylum detecto código malicioso en un paquete de la plataforma PyPI.

El paquete se llama requests-darwin-lite y está disfrazado de unas líneas de código que parecen normales, pero algunas hacen cosas extrañas.

En este artículo hablaremos sobre un Código Malicioso en la Plataforma PyPI, vamos con ello.

Paquete infectado de PyPI — La plataforma PyPI es usada diariamente por miles de programadores en Python

El paquete requests-darwin-lite es una bifurcación del popular paquete request y traía un archivo PNG con código binario malicioso basado en el lenguaje de programación Go.

El usuario malicioso lanzó el día 16 de mayo de 2024 el paquete llamado ml-linear-regression.

Este nuevo paquete traía un archivo PDF llamado simple_linear_regression.pdf, el cual venia con código malicioso escrito en el lenguaje de programación Go.

Asimismo, este paquete incluye el UUID 3E7C2DED-1099-5E75-B96F-B63D5F8C479E como ID de una victima objetivo.

El usuario malicioso pretendía conseguir victimas por medio de varios paquetes.

Paquete requests-darwin-lite

Volviendo con este paquete, traía un atributo setuptools llamado cmdclass.

El paquete original request usa cmdclass para personalizar la ejecución de pruebas mediante comandos de configuración.

El usuario malicioso implementó pruebas en paralelo para optimizar el rendimiento del código malicioso en función a la cantidad de núcleos de la CPU de las víctimas.

En este repositorio puedes encontrar el código original del archivo setup.py del paquete request.

Sobre el final del archivo, en la sección setup puedes ver que hace uso del atributo cmdclass:


setup(
    ...
    ...
    ...
    ...
    ...

    zip_safe=False,
    classifiers=[
        "Development Status :: 5 - Production/Stable",
        "Environment :: Web Environment",
        "Intended Audience :: Developers",
        "License :: OSI Approved :: Apache Software License",
        "Natural Language :: English",
        "Operating System :: OS Independent",
        "Programming Language :: Python",
        "Programming Language :: Python :: 3",
        "Programming Language :: Python :: 3.8",
        "Programming Language :: Python :: 3.9",
        "Programming Language :: Python :: 3.10",
        "Programming Language :: Python :: 3.11",
        "Programming Language :: Python :: 3.12",
        "Programming Language :: Python :: 3 :: Only",
        "Programming Language :: Python :: Implementation :: CPython",
        "Programming Language :: Python :: Implementation :: PyPy",
        "Topic :: Internet :: WWW/HTTP",
        "Topic :: Software Development :: Libraries",
    ],
    cmdclass={"test": PyTest}, # Este atributo 
    tests_require=test_requirements,
    extras_require={
        "security": [],
        "socks": ["PySocks>=1.5.6, !=1.5.7"],
        "use_chardet_on_py3": ["chardet>=3.0.2,<6"],
    },
    project_urls={
        "Documentation": "https://requests.readthedocs.io",
        "Source": "https://github.com/psf/requests",
    },
)

setup(

...

zip_safe=False,

classifiers=[

"Development Status :: 5 - Production/Stable",

"Environment :: Web Environment",

"Intended Audience :: Developers",

"License :: OSI Approved :: Apache Software License",

"Natural Language :: English",

"Operating System :: OS Independent",

"Programming Language :: Python",

"Programming Language :: Python :: 3",

"Programming Language :: Python :: 3.8",

"Programming Language :: Python :: 3.9",

"Programming Language :: Python :: 3.10",

"Programming Language :: Python :: 3.11",

"Programming Language :: Python :: 3.12",

"Programming Language :: Python :: 3 :: Only",

"Programming Language :: Python :: Implementation :: CPython",

"Programming Language :: Python :: Implementation :: PyPy",

"Topic :: Internet :: WWW/HTTP",

"Topic :: Software Development :: Libraries",

cmdclass={"test": PyTest}, # Este atributo

tests_require=test_requirements,

extras_require={

"security": [],

"socks": ["PySocks>=1.5.6, !=1.5.7"],

"use_chardet_on_py3": ["chardet>=3.0.2,<6"],

project_urls={

"Documentation": "https://requests.readthedocs.io",

"Source": "https://github.com/psf/requests",

)

Y esto es legítimo porque es parte del paquete request que todos usamos.

Pero aquí viene el problema con el paquete requests-darwin-lite, en cierta parte de su código parece malicioso.

Una librería para Python puede ser creada con otro lenguaje de programación que no sea necesariamente Python.

El usuario malicioso insertó otro elemento llamado PyInstall en el atributo cmdclass:


setup(
    # --- CLIPPED ---
    cmdclass={
        "install" : PyInstall, # Este elemento 
        "test": PyTest,
        },
    tests_require=test_requirements,
    extras_require={
        "security": [],
        "socks": ["PySocks>=1.5.6, !=1.5.7"],
        "use_chardet_on_py3": ["chardet>=3.0.2,<6"],
    },
    project_urls={
        "Documentation": "<https://requests.readthedocs.io>",
        "Source": "<https://github.com/psf/requests>",
    },
)