Gefährliche PyPI-Pakete bedrohen die Software-Sicherheit

LONDON (IT BOLTWISE) – In der Welt der Softwareentwicklung sind Open-Source-Pakete ein unverzichtbares Werkzeug. Doch die jüngsten Entdeckungen von Sicherheitsforschern zeigen, dass diese auch ein Einfallstor für Cyberangriffe sein können.

Die Entdeckung eines bösartigen Pakets im Python Package Index (PyPI) hat die Entwicklergemeinschaft alarmiert. Das Paket, das sich als Erweiterung für das Chimera Sandbox-Modul ausgibt, zielt darauf ab, sensible Informationen wie Anmeldedaten und Konfigurationsdaten zu stehlen. Diese Bedrohung richtet sich insbesondere gegen Nutzer des Chimera Sandbox-Dienstes, der von der singapurischen Firma Grab entwickelt wurde, um die Entwicklung von maschinellen Lernlösungen zu unterstützen. Das Paket wurde bereits 143 Mal heruntergeladen, bevor es entdeckt wurde. Einmal installiert, versucht die Malware, eine Verbindung zu einer externen Domain herzustellen, um weitere Schadsoftware herunterzuladen und auszuführen. Diese mehrstufige Angriffsmethode zeigt die zunehmende Raffinesse von Cyberbedrohungen im Open-Source-Ökosystem. Die Malware ist in der Lage, eine Vielzahl von Daten zu stehlen, darunter JAMF-Konfigurationen, CI/CD-Umgebungsvariablen und AWS-Tokens. Die gesammelten Informationen werden an einen Server gesendet, der entscheidet, ob das infizierte System für weitere Angriffe geeignet ist. Diese gezielte Vorgehensweise hebt sich von generischen Bedrohungen ab und unterstreicht die Notwendigkeit einer verstärkten Wachsamkeit in der Softwareentwicklung. Parallel dazu wurden auch mehrere bösartige npm-Pakete entdeckt, die für Remote-Code-Ausführung und das Herunterladen zusätzlicher Nutzlasten konzipiert sind. Diese Pakete wurden inzwischen aus dem npm-Repository entfernt, nachdem sie hunderte Male heruntergeladen wurden. Die Analyse zeigt, dass diese Pakete komplexe Verschleierungstechniken verwenden, um ihre bösartigen Absichten zu verbergen. Ein Beispiel ist das Paket ‘solders’, das bei der Installation automatisch schädlichen Code ausführt. Diese Entwicklungen verdeutlichen die Notwendigkeit, Sicherheitsmaßnahmen in der Softwareentwicklung zu verstärken und die Integrität von Open-Source-Paketen zu gewährleisten. Die Bedrohung durch Malware in der Open-Source-Lieferkette ist real und erfordert proaktive Maßnahmen von Entwicklern und Unternehmen. Die Entdeckung solcher Bedrohungen zeigt, dass Angreifer zunehmend ausgeklügelte Methoden einsetzen, um Schwachstellen in der Softwarelieferkette auszunutzen. Die Integration von Sicherheitslösungen und regelmäßige Überprüfungen sind entscheidend, um die Integrität von Softwareprojekten zu schützen. Die zunehmende Komplexität von Angriffen auf Open-Source-Pakete erfordert ein Umdenken in der Sicherheitsstrategie von Unternehmen. Entwickler sollten sich der Risiken bewusst sein und geeignete Maßnahmen ergreifen, um ihre Projekte zu schützen. Die Zusammenarbeit mit Sicherheitsforschern und die Nutzung von Sicherheitswerkzeugen können dazu beitragen, die Bedrohung durch bösartige Pakete zu minimieren.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

Plaud NotePin Sprachrekorder, KI-Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

89,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!