01.08.2021

В каталоге PyPI (Python Package Index) выявлено 6 вредоносных пакетов

 
  • 2.5, Жироватт (ok), 12:29, 24/06/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Стоит. Пока по всем вот этим спидозным накопителям не нарисуют сайт-несайт, в реальном времени отражающий текущую ситуёвину с самим репо и найденными вредоносами.
    С блекджеком, пионерками, архивом статистики по самым разным метаданным пакетов, возможностью отбора трендов и таймланов, возможностью отправки юзерского фидбека, полуавтоматической ловлей подозрительно подозрительных (очень большой коэффициент likely в названии с популярными пакетами, пакеты из китая, рекламных говноконторок, мелких говноконторок «РогаКопыта Ltd.» и от недавно зарегистрированных нонеймов, пакеты с накруткой рейтинга и установок…) и подозрительно неподозрительных пакетов (резких обновлений с нехарактерным кодом, указания реальным кодером угона его акков с последующим блоком любых апдейтов его пакетов до аудита, и т.п.), с обновлениями индекса и веделениями «новых» пакетов, с рейтингами у каждого автоматом внесенного разраба и возможность автоматом смотреть диффы…ну, короче, полноценную систему управления репо с проверкой авторов на продажу аккаунтов.
     
     
  • 3.9, пох. (?), 12:49, 24/06/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > пакеты из китая

    Не, ну вот китайцев-то ты за что? Марат явно не китаец.

    Что-то мне подсказывает, что и не француз даже. Кем бы это он мог бы быть, действительно…

     
     
  • 4.12, ryoken (ok), 12:54, 24/06/2021 [^] [^^] [^^^] [ответить]  
  • +/
    А чо не так с Маратами? Где я долгое время жил (Башкирия) — вполне стандартное имя :D.
     
  • 2.8, YetAnotherOnanym (ok), 12:41, 24/06/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Учитывая специфику подготовки питонистов, им на трёхмесячных курсах могли и не рассказать, что такое в принципе может произойти. Поэтому есть риск, что обнаружение малвари в питонолибах останется незамеченными большей частью питонистов, что чревато проблемами для ни в чём не повинных мирных граждан. Так что лучше оповестить всех лишний раз.
     
     
  • 3.10, пох. (?), 12:52, 24/06/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Ну норм у Марата подготовка — смотри, зависимости, код реюз, setup.py тянущий на ходу что-то с шитхаба — все как у взрослых!

    > что чревато проблемами для ни в чём не повинных мирных граждан.

    а гражданы все равно ничего не смогут поправить в своем чудо-сайтике, имени давно канувшего в лету украинского аутсорсера за пиццор ржублей. Даже если точно будут знать что он майнит.

     
  • 2.11, пох. (?), 12:53, 24/06/2021 [^] [^^] [^^^] [ответить]  
  • +/
    завидуй молча! У чувака пять тыщ майнеров. А тебе опять премию не дадут.
     

    Источник.