Kedves barátaim, programozók és nyitott szellemű nézők! Van egy fantasztikus hírünk: megérkezett a Python: The Documentary, a film, ami nyomon követi a világ legismertebb programozási nyelvének, a Python-nak a történetét! Ez nem csupán egy dokumentumfilm, hanem egy élmény, amely megmutatja, hogyan nőtt egy amszterdami kis projekt és lett globális technológiai ikon. A 90 perces alkotás Guido van Rossum, a Python megalkotójának kezdeti ötletétől indul az 1990-es évek elején, és bemutatja, hogyan vált a Python a mesterséges intelligencia, az adatfeldolgozás és a világ legnagyobb vállalatainak egyik alapvető eszközévé. A filmben megszólalnak olyan neves alakok, mint Travis Oliphant, Barry Warsaw, Armin Ronacher, Mariatta Wijaya, és még sokan mások, akik alakították ezt a nyelvet és a nyílt forráskódú közösséget.

A Socket biztonsági kutatócsapata egy újabb, kifejezetten aggasztó fenyegetésre hívta fel a figyelmet: egy imad213 nevű rosszindulatú Python-csomag jelent meg, amely Instagram felhasználók biztonságát veszélyezteti, miközben hamisan követőnövelő eszközként tünteti fel magát.

Álcázott veszélyforrás: mit rejt az „IMAD-213”?

Kiberbiztonsági kutatók kártékony csomagokat fedeztek fel a Python Package Index (PyPI) adattárban. Ezek egyfajta ellenőrző eszközként működtek, melyek azt vizsgálták, hogy az ellopott email címek érvényesek-e egy TikTok, vagy egy Instagram API ellen. Ezek a kártékony csomagok többé már nem elérhetők, de érdemes megnézni a letöltések számát:

A kiberbiztonsági szakértők egy újabb kampányra hívták fel a figyelmet, amely a Python Package Index (PyPI) felhasználóit célozza meg. A támadók hamis csomagokat tettek közzé az ismert szoftverkönyvtárban, amelyek időkezeléssel kapcsolatos segédprogramoknak álcázzák magukat, valójában azonban érzékeny adatok, például felhő hozzáférési tokenek ellopására szolgálnak.

Egy "automslc" nevű rosszindulatú PyPI csomag több mint 100 000 letöltést ért el 2019 óta, miközben hardcode-olt hitelesítő adatokkal visszaélt a Deezer zenei streaming szolgáltatásával. A biztonsági kutatók szerint a csomag éveken át lehetővé tette a zeneletöltést a platformról, miközben a felhasználók tudta nélkül veszélybe sodorhatta őket.

Manapság sajnos divatos támadási mód és meglehetősen nagy támadási felület különféle központi csomagtárolókban elhelyezett csomagok fertőzése, vagy a csomagok nevével történő megtévesztés. A pip segítségével telepített PyTorch-nightly Linux-csomagok 2022. december 24 és december 30 között telepítettek egy függőséget, a torchtriton-t, amely a Python Package Index (PyPI) kódtárolójában jelent meg. Ez kompromittálódott függőség a PyPI-ből települ egy megbízható külső forrás helyett. Ennek oka, hogy a pip a PyPI forrást preferálja a csomagok telepítéséhez. Ez egy rosszindulatú bináris programot telepített a számítógépre. Ez az úgynevezett ellátási lánc támadás, amely közvetlenül érinti a nyilvános csomagindexeken tárolt csomagok függőségeit. A PyPI a nyílt forráskódú csomagok tárháza, amelyet a fejlesztők arra használhatnak, hogy megosszák munkájukat, vagy mások munkájából profitáljanak, letöltve a projektjeikhez szükséges funkcionális könyvtárakat. A PyTorch stabil csomagokat alkalmazó felhasználókat ez a probléma nem érinti.

Mindig öröm, ha valami újabb, és sokkal gyorsabban fut.