«Le référentiel officiel d’accords de packages de logiciels Python, PyPI, est inondé de packages de spam…» a rapporté jeudi Bleeping Pc.

«Chacun de ces paquets est publié par un compte de responsable pseudonyme unique, ce qui rend difficile pour PyPI de supprimer les paquets et les comptes de spam…»

PyPI est inondé de packages de spam nommés d’après des films standard dans un mode généralement lié aux sites Web torrent ou «warez» qui présentent des téléchargements piratés: watch- (movie-name) -2021-full-online-movie-free-hd-… Bien que quelques-uns de ces packages datent de plusieurs semaines, BleepingComputer a remarqué que les spammeurs persévèrent pour ajouter de nouveaux packages à PyPI… La page Web de ces faux packages comprend des phrases clés de spam et des hyperliens vers des sites de streaming de films, bien que de légitimité et légalité douteuses…

Février de ces 12 mois, PyPI avait été inondé de faux keygens «Discord», «Google» et «Roblox» dans une énorme attaque de spam, comme rapporté par ZDNet. À l’époque, Ewa Jodlowska, directrice gouvernementale du programme Python Software Basis avait informé ZDNet que les administrateurs de PyPI avaient été engagés dans la lutte contre l’attaque de spam, néanmoins, par le personnage de pypi.org, n’importe qui pouvait publier dans le référentiel, et ainsi de suite. les événements s’étaient généralisés.

En plus de contenir des phrases clés de spam et des liens hypertextes vers des sites Web de quasi-streaming vidéo, ces packages incluent des données records avec du code utile et des informations sur les rédacteurs provenant de packages PyPI réputés … Comme précédemment signalé par BleepingComputer, les acteurs malveillants ont mélangé le code de packages réputés avec dans tout autre cas paquets faux ou malveillants pour masquer leurs traces et rendre la détection de ces paquets un peu plus difficile …

Au cours des derniers mois, les attaques contre les écosystèmes open source comme npm, RubyGems et PyPI se sont intensifiées. Des acteurs menaçants ont été surpris en train d’inonder les référentiels de programmes logiciels avec des logiciels malveillants, des copieurs de confusion de dépendance malveillants ou simplement des packages d’autodéfense pour diffuser leur message. En tant que tel, la sécurisation de ces référentiels est devenue une course folle entre les acteurs de la menace et les mainteneurs de référentiels.

Apprenez-en plus sur cette histoire à Slashdot.