Positive Technologies открыла доступ по запросу к сервису обнаружения вредоносных Python-пакетов PT PyAnalysis

Разработчик решений для информационной безопасности компания Positive Technologies открыла доступ по запросу к сервису обнаружения вредоносных Python-пакетов в открытом ПО под названием PT PyAnalysis.

Поскольку в последний год злоумышленники стали активно интересоваться открытым ПО и доставка вредоносного кода через сторонние зависимости стала одним из способов заражения, то эксперты Positive Technologies создали инструмент PT PyAnalysis для выявления подозрительных и вредоносных Python-пакетов. Компания открыла сбор заявок на ранний доступ к новому сервису.

Python-пакеты используются большинством разработчиков, поэтому им придётся внимательно изучать внешние зависимости и встраивать механизм их анализа в процесс разработки. Кроме того, в ходе исследования репозитория PyPI, которое длилось восемь месяцев, эксперты Positive Technologies обнаружили 175 вредоносных пакетов, причем часть из них находилась там с 2018 года.

Эксперты PT обнаружили в найденных пакетах различные типы или следы вредоносного ПО:

• стилеры (stealer) — вредоносное программное обеспечение для кражи паролей пользователей (63%);
• бэкдоры (backdoor) — ПО, с помощью которого злоумышленники могут незаметно дистанционно управлять устройством жертвы (20%);
• программы-загрузчики (downloader) — используются для загрузки вредоносного ПО на компьютер жертвы (6%);
• нежелательную для пользователя активность, например назойливые уведомления или удаление учетной записи Telegram (8%);
• proof of concept вредоносного ПО без вредоносной активности, разрушительных действий или краж (2%);
• программы-вымогатели (1%).

В Positive Technologies пояснили, что разработчики очень часто загружают заражённые пакеты в своё программное обеспечение, что позволяет злоумышленнику атаковать пользователей этого ПО. Исследование компании также выявило, что средняя продолжительность жизни вредоносного пакета до его удаления составляет 13 суток. Это достаточный срок для заражения компьютера пользователя. Чаще всего вредоносные Python-пакеты маскируются под легитимные и используются для кражи данных.

Сегодня создать репозиторий с незанятым именем на pypi.org для хранения Python-пакетов может любой желающий. У администраторов проекта есть система Malware Checks, но её правила обнаружения лежат в исходном коде проекта, и обойти их достаточно просто. Сама система при этом не является блокирующей: сигналы приходят на почту администраторам, после чего происходит проверка кода пакета и принимается решение о блокировке.

Злоумышленники уже несколько лет используют различные техники, связанные с компрометацией разработчиков, имитацией легитимных пакетов и обфускацией. Со временем их действия становятся все более эффективными и незаметными. Чтобы построить полноценную систему защиты от таких угроз, требуется привлечь сторонних специалистов по анализу вредоносного кода.

Новая система PyAnalysis компании Positive Technologies отличается высоким уровнем автоматизации. через API пользователи могут отправить название Python-пакета на проверку и получить оценку его опасности (clean, suspicious, malicious). Экспертиза в области анализа вредоносного кода не требуется. Система не только выдаёт ясный вердикт по каждому случаю, но и объясняет, почему тот или иной пакет является вредоносным.

«Когда разработчик загружает пакет в своё программное обеспечение, то не подозревает, что он заражён и злоумышленник получает возможность атаковать пользователей этого ПО. Именно поэтому наша система проверки Python-пакетов из репозитория PyPI работает по модели as a service: каждый может протестировать ее в своем процессе безопасной разработки. На этапе тестирования использование этой системы будет бесплатным. Мы ожидаем, что Python-разработчики и специалисты по безопасной разработке оценят PT PyAnalysis и поделятся с нами своими замечаниями, чтобы мы смогли улучшить этот сервис и сделать его удобным для всех», — пояснил руководитель по развитию направления по работе с данными о киберугрозах, Positive Technologies Максим Долгинин.

В декабре компании Checkmarx и Illustria провели исследование, которое показало, что в репозиториях программного обеспечения с открытым исходным кодом присутствует множество вредоносных пакетов. В экосистемах NuGet, NPM и PyPi выявили более 144 тысяч таких пакетов. 

В августе некоторые пакеты PyPI оказались скомпрометированы из-за того, что разработчики попались на фишинговые письма. Фишинговая кампания была нацелена на тех, кто занимается поддержкой пакетов Python, опубликованных в реестре PyPI. До этого исследователи из компании Sonatype обнаружили шифровальщика в официальном репозитории PyPI. В ходе расследования выяснилось, что вредонос в репозиторий загрузил школьник, а любой пользователь пакетов оказывался жертвой вымогателя.