Новости / PyPI

GitHub и PyPI ужесточили правила после серии атак на цепочки поставок ПО

ит-технологии

GitHub и Python Package Index решили не спешить с обновлениями зависимостей, чтобы разработчики реже устанавливали вредоносные пакеты сразу после публикации. Dependabot теперь по умолчанию выжидает три дня перед обновлением, а PyPI запретил добавлять новые файлы в выпуски старше двух недель, пишет Securitylab.

Читать пост

Mini Shai-Hulud снова ударил по цепочке поставок в npm и PyPI

вредоносы

Даже 2FA, доверенная публикация через GitHub Actions и запись о происхождении сборки не гарантируют, что опубликованный пакет безопасен. По данным Aikido, в npm обнаружили 373 вредоносные версии в 169 пакетах, передаёт Securitylab. Wiz.io связывает атаку с группой TeamPCP и пишет, что операция началась 11 мая 2026 года и затронула сразу несколько п …

Читать пост

В пакете PyTorch Lightning на PyPI найдена вредоносная сборка 2.6.3

PyTorch Lightning

Lightning AI сообщила об атаке на цепочку поставок 30 апреля. По данным разработчиков, версия 2.6.3 содержала скрытую цепочку запуска, которая срабатывала при импорте пакета lightning. После запуска вредоносный код создавал фоновый процесс, скачивал с GitHub JavaScript-среду Bun v1.3.13 и выполнял обфусцированный файл «router_runtime.js» размером 1 …

Читать пост

Библиотека termncolor в официальном хранилище PyPI распространяла вредоносный код

https://consent.yahoo.com/v2/collectConsent?sessionId=3_cc-session_7a22e0ca-e168-4752-868b-a4dac5bcb124

Обе библиотеки уже удалены, однако до этого их успели скачать более 800 раз, пишут в Securitylab. Особенность атаки заключалась в многоступенчатом заражении: установка termncolor приводила к загрузке colorinal, которая запускала DLL-файл для расшифровки и запуска следующего этапа. На этой стадии применялся бинарный файл vcpktsvr.exe вместе с libcef …

Читать пост

Специалисты выявили новое вредоносное ПО в официальных репозиториях

https://unsplash.com/photos/a-computer-monitor-sitting-on-top-of-a-desk-UiW8V3djY8A

Речь идёт не о единичных инцидентах, а о целой волне сложных атак, нацеленных на разработчиков и корпоративную инфраструктуру, использующую облачные сервисы и системы непрерывной интеграции. Одним из таких инцидентов стало обнаружение вредоносного пакета под названием chimera-sandbox-extensions, загруженного на PyPI, пишут в Securitylab. Пакет выда …

Читать пост

Злоумышленники загрузили на официальный репозиторий PyPI вредоносный пакет под видом инструмента для работы с блокчейном Solana

Solana

Несмотря на то, что файл под названием «solana-token» уже удалён, до момента удаления его успели загрузить 761 раз, потенциально поставив под угрозу исходный код и конфиденциальные данные сотен разработчиков.

Читать пост

Вредоносный пакет, размещённый в репозитории PyPI, перехватывает торговые ордера, отправляемых на криптовалютную биржу MEXC

MEXC

Пакет получил название «ccxt-mexc-futures» и маскируется под расширение популярной библиотеки «ccxt», которая используется для автоматизации операций с различными криптовалютными площадками.

Читать пост

В PyPI найдено 20 фальшивых пакетов для похищения данных

PyPi

Исследователи в области кибербезопасности предупредили о вредоносной кампании, направленной на пользователей репозитория Python Package Index (PyPI). Злоумышленники распространяли поддельные библиотеки, маскируя их под утилиты, связанные со «временем» (time), но со скрытой функцией кражи чувствительных данных, включая облачные токены доступа, пишет …

Читать пост

Новый троян атакует Python-сообщество

Python

Исследователи безопасности из компании Socketвыявили вредоносный пакет PyPI под названием «set-utils», который перехватывал функции создания криптокошельков и отправлял украденные приватные ключи через блокчейн Polygon.

Читать пост

Zebo и Cometlogger:  два PyPI-пакета похитили данные сотен разработчиков

PyPi

Исследователи компании Fortinet выявили два вредоносных пакета, размещённых в репозитории Python Package Index (PyPI), которые предназначались для кражи конфиденциальной информации с заражённых устройств. Пакеты под названиями zebo и cometlogger успели привлечь 118 и 164 загрузки соответственно до их удаления. Согласно статистике ClickPy, большинст …

Читать пост