悪意ある「Python」ライブラリーがPyPIで発見される--研究者が報告

Catalin Cimpanu (Special to ZDNET.com) 翻訳校正: 編集部

2019-07-18 11:12

 セキュリティ企業のReversingLabsは、悪意ある「Python」ライブラリーが公式の「Python Package Index」(PyPI)にアップロードされていることを発見した。

ReversingLabs
提供:ReversingLabs

 これら3つのパッケージ(「libpeshnx」「libpesh」「libari」)は、同じユーザー(名前はruri12)によって作成されており、2017年11月以降、20カ月近くにわたってPyPIからダウンロード可能な状態にあった。2019年7月に入って、これらのパッケージは、ReversingLabsのセキュリティ研究者らによって発見された。

 ReversingLabsは7月9日、PyPIのリポジトリメンテナーに通報し、PyPIのセキュリティチームはその日のうちにこれらのパッケージを削除した。

 どのパッケージにも説明が記載されておらず、目的を特定するのは不可能だ。しかしPyPIの統計を見ると、これらのパッケージは定期的にダウンロードされており、それぞれが毎月何十回もインストールされていることが分かる。

ReversingLabs
提供:ReversingLabs

 悪意あるコードは、Linuxシステムにインストールされたときにのみ動きのある単純なバックドアメカニズムだったという。

 ReversingLabsのチーフソフトウェアアーキテクト兼創設者のTomislav Pericin氏は米ZDNetとのインタビューで、「Pythonパッケージマネージャーからパッケージがインストールされれば、それはユーザーから呼び出されるのを待つ」と述べた。

 「ユーザーによって実行されると、バックドアがアクティブになる。バックドアの実行をもっと自動化するインストール手順もある」(Pericin氏)

 ReversingLabsによると、バックドアはインタラクティブシェルであり、攻撃者はそれを使って、3つのパッケージがインストールされたコンピューターに接続し、コマンドを実行した可能性があるという。

 ReversingLabsが3つのパッケージを見つけたとき、バックドアはlibpeshnxでのみアクティブになっていたが、ほかの2つのパッケージ(libpeshとlibari)には「コードのない悪意ある関数への参照」が含まれていた。このことは、作者がバックドアを削除したか、あるいは、ほかの2つのパッケージのバックドアを含むバージョンをロールアウトする準備を進めていた可能性を示唆している。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ZDNET Japan クイックポール

自社にとって最大のセキュリティ脅威は何ですか

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]