Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Devido às recentes atividades cibercriminosas, os cadastros de novos usuários na plataforma PyPI foram suspensos. Atualmente, observa-se um aumento no número de uploads de pacotes maliciosos está sendo considerado a razão por trás da suspensão. Neste artigo, vamos nos aprofundar nos detalhes do uploads de pacotes maliciosos no PyPI e saberemos mais sobre a suspensão temporária que o administrador implementou.
Pacote malicioso no PyPI: suspensão de cadastros revelada
De acordo com recentes notícias da mídia, tanto o cadastro de novos usuários quanto a criação de novos projetos foram temporariamente suspensos no dia 28 de março. A medida foi tomada como contramedida ao que o administrador do PyPI acreditava ser uma campanha de malware. No entanto, ambas as funções foram restabelecidas 10 horas depois.
Vale a pena mencionar aqui que nenhum outro detalhe sobre os envios de pacotes maliciosos ao PyPI foi divulgado em comunicado do PyPI. O PyPI é um elemento fundamental da cadeia de suprimentos de software, permitindo que desenvolvedores compartilhem e baixem trechos úteis de código. Diante disso, é necessário saber mais sobre tais incidentes.
Especialistas das empresas de segurança cibernética Checkmarx e Phylum publicaram uma pesquisa sobre um malware que parece ser semelhante ou estar relacionado aos envios de pacotes maliciosos no PyPI. Ao esclarecer a questão do pacote malicioso no PyPI, a equipe da Checkmarx afirmou:
“Trata-se de um ataque em várias etapas, e a carga maliciosa tinha como objetivo roubar carteiras de criptomoedas, dados confidenciais dos navegadores (cookies, dados de extensões, etc.) e diversas credenciais.”
As ameaças representadas pelos pacotes maliciosos no PyPI poderiam ter causado graves danos caso não tivessem sido resolvidas em tempo hábil. Ao comentar sobre as medidas de mitigação para o envio de pacotes maliciosos no PyPI, a Phylum afirmou que:
“Embora a resposta rápida e enérgica do PyPI tenha, sem dúvida, ajudado a mitigar as consequências desse ataque, vale ressaltar que nem todos os ecossistemas são tão rápidos e eficazes ao lidar com um ataque desse tipo.”
Sequência de ataque dos pacotes maliciosos no PyPI
A sequência de ataque para os envios de pacotes maliciosos no PyPI se assemelha bastante à de outras ameaças originadas em repositórios de software, incluindo campanhas de malware em JavaScript. De acordo com relatórios recentes, essa brecha de segurança no PyPI consistiu em induzir desenvolvedores a baixarem pacotes de código que pareciam legítimos, mas eram maliciosos.
Até o momento, acredita-se que desenvolvedores que trabalham com elementos populares como Pillow e Colorama tenham sido alvos diretos. Esses dois elementos lidam com imagens e coloração de texto, respectivamente. Pesquisadores de ambas as empresas acreditam que a prática de “typosquatting” foi utilizada para fazer com que os envios de pacotes maliciosos no PyPI parecessem legítimos.
O “typosquatting” é uma técnica em que um arquivo recebe um nome que se assemelha ao de um pacote comum, mas contém uma letra fora do lugar ou adicional. Ao comentar sobre a eficácia da técnica, a Phylum afirmou que “Basta um único dedo no lugar errado no teclado para que seu computador seja comprometido.”
O que torna esses pacotes maliciosos do PyPI sejam uma ameaça grave é a persistência do malware. Uma vez que um pacote comprometido fosse baixado e os desenvolvedores começassem a trabalhar, ele poderia executar o malware sem qualquer intervenção de terceiros. Vale mencionar aqui que esse tipo de malware poderia até mesmo sobreviver a uma reinicialização completa do sistema, de forma semelhante às técnicas observadas em variantes de malware para Linux.
Após o download, os pacotes eram inicialmente verificados para determinar se o instalador estava sendo executado em um sistema operacional Windows. Se fosse o caso, eles prosseguiam com o download e a execução de uma carga útil ofuscada proveniente de “funcaptcha[.]ru”. Em seguida, os pacotes continuavam a executar funções de malware, como o roubo de dados. Os pacotes também continuavam a baixar o “hvnc.py” para a pasta de Inicialização do Windows, a fim de aumentar a persistência.
Detalhes sobre os envios de pacotes maliciosos no PyPI
Oferecendo informações valiosas relacionadas às vulnerabilidades de segurança do PyPI, a Check Point, uma agência israelense de segurança cibernética, afirmou que o envio de pacotes maliciosos ao PyPI teve início em 26 de março. Como os envios estão vinculados a uma única conta, pode-se afirmar que todo o processo foi automatizado.
Vale ressaltar que, como cada um dos pacotes maliciosos no PyPI tinha como alvo identidades diferentes, a identificação cruzada das entradas é complicada. Alguns dos detalhes dos uploads de pacotes maliciosos do PyPI são mencionados na tabela abaixo.
| Pacotes | Número da variação |
| Requisitos | 67 |
| Matplotlib | 38 |
| Solicitações | 36 |
| Colorama | 35 |
| TensorFlow | 29 |
| Selênio | 28 |
| BeautifulSoup | 26 |
| PyTorch | 26 |
| Travesseiro | 20 |
| Asyncio | 15 |
Também vale a pena mencionar aqui que esta não é a primeira vez que as inscrições no PyPI foram suspensas. Incidentes anteriores dessas suspensões foram relatados no ano passado, em maio, novembro e dezembro. Além disso, um evento semelhante também foi relatado em 2 de janeiro de 2024.
Dada a persistência da violações de segurança no PyPI , tanto desenvolvedores quanto organizações devem compreender profundamente as técnicas de malware, incluindo ameaças como o malware do Docker, que tem como alvo ambientes em contêineres. Isso pode ajudar a desenvolver contramedidas eficazes que reduzam os riscos online e melhorem a postura de segurança.
Conclusão
Os cadastros de novos usuários e os envios de pacotes no PyPI foram suspensos recentemente devido a alguns uploads de pacotes maliciosos . Esses pacotes se passavam por recursos legítimos, mas tinham a intenção maliciosa de infectar os dispositivos dos desenvolvedores visados com malware. O malware foi projetado para se infiltrar em dispositivos Windows, roubar dados e baixar e executar scripts adicionais para aumentar sua persistência.
Dada a evolução das ameaças cibernéticas e os danos que elas podem causar, a implementação de soluções de segurança proativas é agora essencial para proteger os ativos digitais e mitigar riscos.
As fontes deste artigo incluem matérias publicadas no The Hacker News e The Record.
