Mobile-Menu

Python Package Index als Ziel von Cyberangriffen Check Point entdeckt Typosquatting-Angriffe bei PyPI

Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH
Fsas Technologies GmbH
FTAPI Software GmbH

PyPI, das offizielle Repository für Python-Softwarepakete, zählt mit einer Nutzerbasis von über 800.000 Personen zu den größten seiner Art. Eine kürzliche Entdeckung durch Check Point CloudGuard enthüllte eine umfangreiche Typosquatting Kampagne auf PyPI, die mehr als 500 bösartige Pakete umfasste.

CheckPoint entdeckt Angriffe auf PyPI(Bild: NicoElNino - stock.adobe.com)
CheckPoint entdeckt Angriffe auf PyPI
(Bild: NicoElNino - stock.adobe.com)

Sicherheits-Experten bei Check Point haben eine Typosquatting-Kampagne identifiziert. Die Kampagne umfasst etwa 500 Pakete und wird über Python Package Index (PyPI) verteilt. Dieses Repository ist sehr beliebt, weshalb die Verbreitung recht schnell erfolgte.

Die Installation dieser Pakete birgt das Risiko des Diebstahls persönlich identifizierbarer Informationen sowie der Einschleusung von Malware auf die Systeme der Nutzer. Nach der Entdeckung erfolgte umgehend eine Benachrichtigung an PyPI. Das administrative Team veranlasste daraufhin die Entfernung der Pakete.

PyPI hat reagiert, Nutzer sollten dennoch aufpassen

PyPI dient mit seinen über 800.000 Nutzern als weltweite Anlaufstelle für die Entdeckung, Installation und den Austausch von Open-Source-Python-Paketen. Betrieben von der Python Software Foundation (PSF), ermöglicht PyPI den einfachen Zugang durch den pip-Paketinstaller und beherbergt eine breite Palette an Paketen.

PyPI ist immer wieder Ziel bösartiger Aktivitäten, bei denen Bedrohungsakteure Pakete hochladen, um ahnungslose Nutzer zu kompromittieren. Diese bösartigen Pakete bestehen typischerweise aus drei Schlüsselelementen: dem bösartigen Code selbst, der für den Angriff angewandten Strategie und der Infektionsmethode.

Typosquatting als Methode beliebt

Eine der häufigsten Infektionstechniken ist das Typosquatting. Dabei werden Pakete mit Namen erstellt, die populären Paketen ähneln, um Tippfehler auszunutzen. Die entdeckte Typosquatting-Kampagne umfasste mehr als 500 bösartige Pakete, die in zwei Wellen auf PyPI eingeschleust wurden.

Zunächst wurden etwa 200 Pakete eingeführt, gefolgt von einer weiteren Charge von mehr als 300. Jedes Paket stammte von einem einzigartigen Wartungskonto mit unterschiedlichen Metadaten wie Name und E-Mail.

Die dezentrale Natur der Uploads erschwert die Bemühungen, diese schädlichen Einträge zu identifizieren. Die mit der Kampagne verbundenen Konten wurden am 26. März erstellt, wobei die bösartigen Pakete bereits am folgenden Tag hochgeladen wurden. Mit hoher Wahrscheinlichkeit als Tarnmanöver, um einer Erkennung durch heuristische Malware-Scanning-Mechanismen zu entgehen.

(ID:49989307)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte