Beliebtes PyPI-Paket mit einer Million monatlichen Downloads wurde gehackt, um bösartige Skripte einzuschleusen
Ein schwerwiegender Angriff auf die Software-Lieferkette hat das beliebte Python-Paket elementary-data kompromittiert und Tausende
Kurzfassung
Warum das wichtig ist
- Ein schwerwiegender Angriff auf die Software-Lieferkette hat das beliebte Python-Paket elementary-data kompromittiert und Tausende
- Bedrohungsakteure haben erfolgreich eine bösartige Version, 0.23.3, auf das Python Package Index (PyPI) hochgeladen und die entsprechenden Docker-Images im GitHub Container Registry (GHCR) vergiftet.
- Mit über einer Million monatlichen Downloads stellt dieses weit verbreitete dbt data observability tool ein äußerst lukratives Ziel für Cyberkriminelle dar.
SvyTech-Check
Redaktionelle Einordnung
Kernpunkt
Ein schwerwiegender Angriff auf die Software-Lieferkette hat das beliebte Python-Paket elementary-data kompromittiert und Tausende
Warum relevant
Wie detailliert, basierte der Angriff nicht auf gestohlenen Passwörtern eine Schwachstelle bei der Skriptinjektion in der GitHub Actions-Pipeline des Projekts aus.
Einordnung
SvyTech ordnet die Meldung aus Cyber Security News als Teil des Themenfelds Technologie ein und verweist auf den Originalartikel, damit Leser Fakten, Quelle und Kontext nachvollziehen koennen.
Wie detailliert, basierte der Angriff nicht auf gestohlenen Passwörtern eine Schwachstelle bei der Skriptinjektion in der GitHub Actions-Pipeline des Projekts aus.
Information Stealer Payload Ein neu erstelltes GitHub-Konto veröffentlichte ein bösartiges Skript in einem Kommentar zu einem offenen Pull Request. Da der automatisierte Workflow diesen Kommentar nicht sicher verarbeiten konnte, führte das System den Code aus.
Mit dem im Workflow integrierten Zugriffstoken fälschte der Angreifer einen verifizierten Release-Commit und löste den offiziellen Veröffentlichungsprozess aus, ohne jemals den Hauptcode zu berühren. Die bösartige elementary-data 0.23.3-Veröffentlichung wurde als neueste auf PyPI gelistet (Quelle: stepsecurity).
Sicherheitslage und Risiko
Nach der Installation platziert das kompromittierte Paket eine einzige bösartige Datei namens elementary.pth in der Umgebung. Da Python.pth-Dateien automatisch ausführt, sobald der Interpreter startet, wird die Malware auf jeder Maschine, auf der das Paket installiert ist, sofort aktiviert.
Laut Berichten Nutzlast ein hochentwickelter, dreistufiger Informationsdieb, der aktiv nach kritischen Entwicklergeheimnissen und Anmeldeinformationen sucht.
Er zielt systematisch auf und stiehlt:
Technischer Hintergrund
Cloud-Zugriffstoken für AWS, Google Cloud und Azure.
SSH-Private-Schlüssel und Git-Anmeldeinformationen.
Kubernetes-Service-Account-Tokens und Docker-Konfigurationen.
Moegliche Anwendungen
Umgebungsvariablen-Dateien (.env) mit Anwendungsgeheimnissen. Mehrere Kryptowährstoffeldsysteme, einschließlich Bitcoin und Ethereum.
Alle gestohlenen Daten werden in ein Archiv komprimiert und leise an einen entfernten, vom Angreifer kontrollierten Command-and-Control-Server gesendet.
Die bösartige Datei elementary.pth, die im Wheel enthalten ist (Quelle: stepsecurity) Betroffene Versionen Um zu überprüfen, ob Sie betroffen sind, empfiehlt StepSecurity, Ihre installierten Builds zu überprüfen. Die kompromittierte Version des elementary-data PyPI-Pakets ist 0.23.3.
Benutzer sind jedoch sicher, wenn sie
Benutzer sind jedoch sicher, wenn sie Version 0.23.4 oder die frühere 0.23.2 verwenden. In ähnlicher Weise ist das betroffene Docker-Image ghcr.io/elementary-data/elementary:0.23.3, während Version 0.23.4 (oder 0.23.2) sauber ist.
Darüber hinaus ist Ihre Umgebung kompromittiert, wenn Sie den neuesten Docker-Image-Tag mit einem Digest, der in 634255 endet, verwenden. Die injizierte Nutzlast, die innerhalb des Workflows läuft (Quelle: stepsecurity) StepSecurity warnt, dass Sie sicherstellen müssen, dass Ihr neuestes Tag auf den neu bereitgestellten sauberen Build aktualisiert wird.
Dank der schnellen Aktion der Community-Mitglieder Crisperik und H-Max, die den bösartigen Code entdeckten, wurden die Maintainer innerhalb weniger Stunden alarmiert. Das Elementary-Team entfernte umgehend die gefährliche Version 0.23.3 veröffentlichte am selben Tag einen sauberen Ersatz 0.23.4.
Technischer Hintergrund
Entwickler, die mit dem bösartigen Update konfrontiert waren, müssen alle Anmeldeinformationen, API-Schlüssel und Datenbankpasswörter auf den betroffenen Maschinen vollständig rotieren.
Aktivieren Sie die Zwei-Faktor-Authentifizierung für alle wichtigen Infrastrukturen und binden Sie zukünftige Paketabhängigkeiten an spezifische, verifizierte Versionen, um automatische bösartige Updates zu stoppen. Sie uns auf
Kontaktieren Sie uns, um Ihre Geschichten zu präsentieren. Der Beitrag Popular PyPI Package With 1 Million Monthly Downloads Hacked to Inject Malicious Scripts erschien zuerst bei
Quelllink
Originalquelle: Cyber Security News
Thema weiterverfolgen
Interne Verlinkung
Im Kontext weiterlesen
Diese weiterfuehrenden Links verbinden das Thema mit relevanten Archivseiten, Schlagwoertern und inhaltlich nahen Artikeln.
Technologie Archiv
Weitere Meldungen aus derselben Hauptkategorie.
Mehr von Cyber Security News
Alle veroeffentlichten Inhalte derselben Quelle im Archiv.
Die türkische KI-Strategie und der neue Fahrplan wurden vorgestellt
Redaktionell verwandter Beitrag aus dem selben Themenumfeld.
AMD Zen 6: 6,5 GHz Taktfrequenz und mehr Kerne
Redaktionell verwandter Beitrag aus dem selben Themenumfeld.
Quellenprofil
Quelle und redaktionelle Angaben
- Quelle
- Cyber Security News
- Canonical
- https://cybersecuritynews.com/pypi-package-hacked-with-malware/
- Quell-URL
- https://cybersecuritynews.com/pypi-package-hacked-with-malware/
Aehnliche Inhalte
Verwandte Themen und interne Verlinkung
Weitere Artikel aus aehnlichen Themenfeldern, damit Leser direkt im selben Kontext weiterlesen koennen.
Die türkische KI-Strategie und der neue Fahrplan wurden vorgestellt
Die Türkei hat einen neuen KI-Aktionsplan vorgestellt, der das Land bis 2030 unter die ersten zwanzig weltweit im KI-Ökosystem und unter die ersten zehn der Weltwirtschaft führen soll, indem fünf strategische Säulen wie die Förderung einheimischer Fachkräfte und Hochleistungsrechner sowie die Entwicklung des türkischen Großen Sprachmodells umgesetzt werden. Um diese Ziele zu erreichen, wurden das Direktorat für Nationale Technologie und Künstliche Intelligenz sowie das Direktorat für Öffentliche Künstliche Intelligenz eingerichtet, um durch Anreize für Start-ups und die Beschaffung lokaler Lösungen die technologische Souveränität und wirtschaftliche Unabhängigkeit zu stärken.
13.06.2026
Live Redaktion
AMD Zen 6: 6,5 GHz Taktfrequenz und mehr Kerne
AMD plant für die neue Zen 6-Architektur eine Steigerung der Taktfrequenz auf über 6,5 GHz sowie eine Erhöhung der Kerne pro CCD von 8 auf 12, was Spitzenmodellen wie dem Ryzen 9 10950X theoretisch 24 Kerne und bis zu 288 MB L3-Cache ermöglichen könnte. Trotz dieser ambitionierten Ziele und der Einführung latenzreduzierender Brückentechnologien muss sich das Unternehmen mit potenziellen Fertigungsproblemen der B0-Revision auseinandersetzen, die entweder durch eine Produktionsverzögerung oder ein möglicherweise leistungsminderndes Mikrocode-Update gelöst werden müssen.
13.06.2026
Live Redaktion
Neugeborene sollen mit tragbarem Ultraschallpflaster kontinuierlich überwacht werden
Ingenieure der University of California San Diego haben ein weiches, tragbares Ultraschall-Pflaster entwickelt, das dank intelligenter Algorithmen den Gesundheitszustand Fötus auch bei Bewegung kontinuierlich und in Echtzeit überwacht. Klinische Tests an 62 Schwangeren zeigten, dass das Gerät Komplikationen wie eine Schwangerschaftsvergiftung frühzeitig erkennt, was in einem Fall durch eine rechtzeitige Notfallintervention möglicherweise ein Leben rettete.
13.06.2026
Live Redaktion
Anthropic stößt in den USA auf nationale Sicherheitsbehinderungen bei neuen KI-Modellen
Die US-Regierung hat unter Berufung auf nationale Sicherheitsbedenken den Zugang der ausländischen Nutzer zu den neuesten KI-Modellen Fable 5 und Mythos 5 des Unternehmens Anthropic blockiert und diese vorübergehend vollständig deaktiviert. Dies stellt den ersten Fall dar, in dem spezifische KI-Modelle direkt sanktioniert werden, wobei auch ausländische Mitarbeiter des Unternehmens .
13.06.2026
Live Redaktion