Novo vetor de malware em pacote PyPI da Telnyx usa áudio WAV para roubo de credenciais
TeamPCP compromete pacote PyPI da Telnyx, entregando malware oculto em arquivo WAV. Ataque visa roubo de credenciais e destaca riscos na cadeia de suprimentos.
Tag
Tag: pypi
32 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a pypi.
Pacote PyPI da Telnyx com 742 mil downloads comprometido em ataque à cadeia de suprimentos
Pacote PyPI da Telnyx comprometido em ataque TeamPCP. Malware executa na importação, usa esteganografia WAV e exige rotação imediata de credenciais.
Pacote Python LiteLLM com 95 milhões de downloads comprometido por equipe hacker
Biblioteca Python LiteLLM com 95 milhões de downloads foi comprometida por equipe hacker TeamPCP. Versões 1.82.7 e 1.82.8 contêm backdoor sofisticado que rouba credenciais e move-se lateralmente em Kubernetes.
Pacote malicioso Pyronut instala backdoor em bots do Telegram com execução remota de código
Pacote malicioso Pyronut no PyPI se passa por Pyrogram, instalando backdoor em bots do Telegram com RCE. Endor Labs identificou e neutralizou, mas alerta para riscos de engenharia social e execução em tempo de execução.
Campanha Lazarus 'Graphalgo' usa repositórios para distribuir RATs
Operação denominada 'graphalgo' usa falsas vagas e repositórios públicos (GitHub, npm, PyPI) para distribuir RATs a desenvolvedores de cripto; pacote 'bigmathutils' teve >10.000 downloads antes de ser weaponizado, segundo ReversingLabs.
Crypto Scanner: ferramenta open‑source para identificar criptografia vulnerável a quantum
Crypto Scanner, da Quantum Shield Labs, é um CLI open‑source que identifica criptografia vulnerável em código, configs e certificados. Voltado a equipes que precisam mapear ativos antes da migração para algoritmos resistentes a quantum, oferece integração com CI/CD e relatórios JSON/HTML. O anúncio destaca a ameaça "Harvest Now, Decrypt Later" e recomenda testes em staging antes de bloquear commits em produção.
Pacotes dYdX no npm e PyPI foram comprometidos para entregar wallet stealers
Pesquisadores detectaram pacotes comprometidos no npm e PyPI que entregam wallet stealers e permitem execução remota. O feed cita versões comprometidas do @dydxprotocol/v4-client-js (3.4.1, 1.22.1, 1.15.2, 1.0.31); detalhes PyPI e IOCs não constam no resumo.
Pacote malicioso no PyPI imita SymPy e instala minerador XMRig
Um pacote malicioso identificado como "sympy-dev" no PyPI imitou a descrição do projeto SymPy para induzir à instalação e executou o minerador XMRig em hosts Linux. A técnica explora confiança em dependências públicas; recomenda-se verificação de origem, isolamento de pipelines e revisão de dependências em ambientes de produção.
Scripts legados do Python criam risco de domain-takeover no PyPI
Pesquisadores da ReversingLabs detectaram código vulnerável em arquivos bootstrap do zc.buildout que pode permitir domain takeover e comprometer a cadeia de suprimentos no PyPI; as fontes não reportam exploração ativa nem quantificam pacotes afetados, mas recomendam remoção de referências externas e adoção de verificações de integridade.
Scripts legados do Python abrem PyPI a ataque por domínio
Pesquisadores da Reversinglabs identificaram que scripts de bootstrap legados (zc.buildout) em vários projetos Python fazem download direto de python-distribute[.]org — domínio abandonado desde 2014 — e executam o conteúdo com exec(), abrindo um vetor de supply chain que afeta pacotes como slapos.core, pypiserver e tornado. A falha exige execução manual ou via build e não é acionada por pip install padrão.