Популярный Python-пакет Elementary взломан для распространения вредоносного ПО

Инструмент с открытым исходным кодом Elementary, который ежемесячно скачивают более миллиона раз, подвергся хакерской атаке. Злоумышленники сумели внедрить вредоносный код в официальное обновление, предназначенное для инженеров данных и аналитиков, работающих с конвейерами обработки информации.

Механизм атаки и масштаб проблемы

Инцидент затронул версию пакета 0.23.3 в репозитории PyPI (центральный каталог библиотек Python). По словам экспертов, взлом не был связан с кражей учетных данных разработчиков. Вместо этого атакующие использовали уязвимость в автоматизированных сценариях GitHub Actions — инструменте для сборки и публикации программного обеспечения. Это позволило внедрить вредоносный код, зашифрованный в формате Base64, непосредственно в официальный выпуск.

Разработчики оперативно отреагировали на предупреждения пользователей и выпустили исправленную версию 0.23.4. В обзоре инцидента отмечается, что облачная платформа Elementary Cloud и специализированные пакеты для dbt (инструмента трансформации данных) не пострадали. Однако всем, кто устанавливал версию 0.23.3 или использовал затронутый Docker-образ, настоятельно рекомендуется считать все ключи и пароли в этой среде скомпрометированными.

Какие данные оказались под угрозой

Внедренный код функционировал как «инфостилер» — вредоносная программа, предназначенная для скрытного сбора конфиденциальной информации. Программа была настроена на поиск и отправку злоумышленникам широкого спектра данных из окружения разработчика.

• SSH-ключи и учетные данные Git;
• Токены облачных сервисов и секреты Kubernetes и Docker;
• Файлы криптовалютных кошельков;
• Содержимое файлов .env, где часто хранятся пароли и настройки доступа;
• Системная информация и токены разработчиков.

Меры по устранению последствий

Помимо выпуска чистого обновления, команда Elementary провела полную смену всех токенов публикации в PyPI, GitHub и Docker. Уязвимый рабочий процесс в GitHub был полностью удален, а остальные сценарии прошли тщательный аудит безопасности. К расследованию инцидента была привлечена компания Wiz, специализирующаяся на защите облачных инфраструктур.

На текущий момент ни одна группировка не взяла на себя ответственность за нападение. Эксперты подчеркивают, что данный случай является очередным примером атаки на цепочку поставок программного обеспечения, когда доверие к популярным инструментам используется для массового заражения корпоративных сетей.

Твитнуть