PyPIに悪意のあるパッケージがアップロードされていた | スラド デベロッパー

スロバキア政府のサイバーセキュリティ対策チーム SK-CSIRTは、Pythonパッケージの公式リポジトリ PyPI に悪意あるコードを含む10個の偽ライブラリパッケージがアップロードされていたことを発表した(SK-CSIRTアドバイザリー: skcsirt-sa-20170909-pypi、 Ars Technicaの記事、 The Registerの記事、 Bleeping Computerの記事)。 偽パッケージはいずれも有名パッケージのコピーで、オリジナルのパッケージ名を一部変えた名前が付けられている。コード自体はオリジナルと全く同じものだが、インストール時に実行されるスクリプトが悪意のあるコードを含むものに変えられていたとのこと。 SK-CSIRTの通報により既に問題のパッケージは全てリポジトリから削除されたが、公開されていた6月から9月の間に複数回のダウンロードが確認されている

[tmatsuu]

対象のパッケージ名を見ると、タイプミスどころか検索で候補に出てきたら普通に使いそうな名前だ。bzip、crypt、django-server、telnet、urllibあたりは間違えるなという方が厳しい。

[kutakutatriangle]

どこだって起こりえるので怖いですね

[tanakh]

オッ、パイパイを狙った攻撃か(´･_･`)

[yosuke_furukawa]

デジャヴだ

[amagitakayosi]

この前のnpmの騒動と同じやつだ

[kamei_rio]

よく知らないのですがこれは何と読むのでしょうか

[xbs2r]

まあやられるよね。やられますよ。当然だろ。脇が甘いのはnpmに限らんぜ