PyPI: Kompromittierte Pakete stehlen AWS-Schlüssel von Nutzern

Mehrere PyPI-Pakete enthalten Schadcode und greifen sensible Daten der Nutzer ab. Nun wurde bekannt, dass einige Python-Tools AWS-Schlüssel gestohlen und weitergeleitet haben. Bei PyPI handelt es sich um ein Re­po­si­to­ry aus Open-Source-Paketen, das viele Entwickler verwenden. Da PyPI aus Open-Source-Paketen besteht, hat jeder Entwickler die Option, den Code anzupassen und eigene Programme für das Repository zur Verfügung zu stellen. Obwohl PyPI in den meisten Fällen schnell auf kompromittierte Pakete reagiert und den entsprechenden Code entfernt, gibt es keine Überprüfung, bevor ein Paket bereitgestellt wird. Das hat zur Folge, dass bösartige Software verbreitet wird, bis sie entdeckt und gelöscht worden ist.
Die Pakete stehlen Nutzerdaten... ...und leiten sie an fremde Server weiter

Das Sicherheits-Unternehmen Sonatype hat die Pakete "loglib-modules", "pyg-modules", "pygrata", "pygrata-utils" und "hkg-sol-utils" als Malware eingestuft. Laut BleepingComputer versuchen die ersten zwei Pakete, legitime und bekannte Projekte zu imitieren. In den fünf Paketen sind ähnlicher Code und Abhängigkeiten zu finden, sodass sie vermutlich von einem einzigen Angreifer oder Hacker-Team stammen. Mit dem Schadcode werden AWS-Daten, Informationen zur Netzwerkschnittstelle und Umgebungsvariablen abgegriffen. Die Daten werden in einer Text-Datei gespeichert und über eine ungesicherte Verbindung gesendet.

Entwickler sollten Pakete vor Nutzung verifizieren

Software-Entwickler sollten besonders aufpassen, welche Pakete sie im Rahmen ihrer Projekte nutzen. Dabei sollte nicht nur auf den Namen, sondern auch auf die Update-Verläufe und Changelogs geachtet werden. Außerdem können die Beschreibungen und Download-Zahlen helfen, um zu bestimmen, ob ein Paket echt ist oder gefälscht wurde.

Weitere News zum Thema Datenschutz: