Développeurs, surveillez votre code : les projets malveillants se propagent sur le dépôt officiel Python

PyPI est l’index officiel de paquets Python qui contient actuellement 500 972 projets, 5 228 535 de livraisons, 9 950 103 de fichiers et 770 841 utilisateurs. PyPI aide les utilisateurs à localiser et à installer des logiciels développés et distribués par la communauté Python, ainsi qu’à servir de dépôt où les développeurs peuvent distribuer leur logiciel. Aussi: comment utiliser ChatGPT pour écrire du code Récemment, le spécialiste en cybersécurité ESET a découvert une série de projets Python malveillants dans PyPI, chacun d’entre eux déployant un porte-arrière personnalisé contenant des fonctionnalités de cyberspionnage. Le code malveillant permettait l’exécution de fichiers et le vol de fichiers, et pouvait même – dans certains scénarios – permettre de prendre des captures d’écran d’un écran d’utilisateur. ESET a également rapporté que, dans certains cas, le W4SP Stealer (qui siphonne les données d’utilisateur) ou un moniteur de presse-papiers volant des crypto-monnaies est livré à la place. Au total, 116 paquets malveillants dans PyPI ont été téléchargés à travers 53 projets et téléchargés plus de 10 000 fois. Selon le chercheur ESET Marc-Etienne M. Léveillé, «Certaines des noms de paquets malveillants ressemblent beaucoup à d’autres, de bons paquets, mais nous croyons que la principale façon dont ils sont installés par les victimes potentielles n’est pas via le typosquatting, mais via l’ingénierie sociale, où ils sont accompagnés de l’exécution de pip pour installer un paquet «intéressant» pour une raison quelconque. »