pypi

Четыре троянских пакета обманули систему проверок и заразили сотни проекты за считанные дни. Эксперты Zscaler ThreatLabz обнаружили два злонамеренных пакета в репозитории PyPI , которые при установке и импорте тайно разворачивают Python-троян SilentSync — угрозу, способную захватывать...

10 000 разработчиков уже скачали «легальный» инструмент для автоматических атак. Специалисты Straiker сообщили о новом инструменте под названием Villager, который с момента выхода в июле скачали почти 10 000 раз с официального репозитория PyPI. Программа позиционируется как клиент Model...

API-ключи разработчиков уже могут продаваться в даркнете. Атака GhostAction стала одним из крупнейших компрометаций GitHub-экосистемы за последние годы. Специалисты GitGuardian выявили масштабную кампанию, в ходе которой злоумышленники внедряли вредоносные workflow-файлы в репозитории. Через...

Новый алгоритм будет постоянно сканировать интернет в поисках опасности. Разработчики Python Package Index (PyPI) сообщили о внедрении нового механизма проверки доменов электронной почты, чтобы пресечь атаки через истекшие доменные имена и снизить риски компрометации пакетов. По словам...

Доверие к IT-экосистемам обернулось катастрофой для всей индустрии. Исследователи из Zscaler ThreatLabz обнаружили в официальном репозитории PyPI библиотеку termncolor, которая распространяла вредоносный код через зависимость colorinal. Обе библиотеки уже удалены, однако до этого их успели...

Пустил зависимость — получил бэкдор, а ещё слежку, дампы, и выход на root. В первой половине 2025 года компания Sonatype зафиксировала масштабную и продолжающуюся атаку на экосистему открытого ПО, организованную северокорейской группировкой Lazarus . Впервые автоматизированные системы...

PyPI решил помочь с машинным обучением… но только злоумышленникам. На фоне всё более изощрённых атак на программную цепочку поставок, специалисты в сфере информационной безопасности выявили новое вредоносное ПО в официальных репозиториях, включая Python Package Index (PyPI) и npm. Речь идёт...

Ты устанавливаешь «полезный инструмент», а кто-то устанавливает доступ к твоему устройству. Злоумышленники продолжают использовать популярные репозитории открытого ПО в качестве плацдарма для распространения вредоносного кода. На этот раз специалисты из компании Socket обнаружили...

В open-source доверие по умолчанию оказалось уязвимостью опаснее zero-day. Злоумышленники загрузили на официальный репозиторий PyPI вредоносный пакет под видом инструмента для работы с блокчейном Solana. Несмотря на то, что файл под названием «solana-token» уже удалён, до момента удаления...

Пакет маскировался под помощника, но тайно работал на хакеров. Исследователи выявили вредоносный пакет в репозитории PyPI, который замаскирован под утилиту для работы с Discord, но на деле содержит полноценный троян удалённого доступа. Речь идёт о пакете под названием discordpydebug...

Никаких взломов — просто установите пакет и попрощайтесь с данными. В экосистеме программных модулей на языке Go обнаружены три вредоносных компонента, способных привести к полной утрате данных на Linux-системах. Обнаруженные пакеты внешне выглядели как легитимные и не вызывали подозрений у...

Pip – и ты получил контроль над облаком. Уязвимость ConfusedComposer, обнаруженная специалистами Tenable, стала ещё одним примером того, как внутренняя логика облачных сервисов может быть использована для получения доступа, превышающего изначальные полномочия. Хотя ошибка уже устранена...

Они просто хотели помочь с автоматизацией — автоматизацией кражи. Исследователи из компании JFrog выявили вредоносный пакет, размещённый в официальном репозитории Python Package Index (PyPI). Его основная цель — перехват торговых ордеров, отправляемых на криптовалютную биржу MEXC, с...

Вредоносный модуль мастерски имитировал покупателя для незаметной атаки. На платформе PyPI вновь обнаружены вредоносные Python-библиотеки, предназначенные для кражи конфиденциальных данных и автоматической проверки украденных банковских карт. Общая популярность этих пакетов превысила 39 тысяч...

Форки зараженного кода могли значительно увеличить масштаб компрометации. Исследователи в области кибербезопасности предупредили о вредоносной кампании, направленной на пользователей репозитория Python Package Index (PyPI). Злоумышленники распространяли поддельные библиотеки, маскируя их под...

В тени популярных библиотек затаился хакер, жаждущий ваших цифровых активов. Исследователи безопасности из компании Socket выявили вредоносный пакет PyPI под названием «set-utils», который перехватывал функции создания криптокошельков и отправлял украденные приватные ключи через блокчейн...

Вредоносные пакеты были загружены в главный репозиторий Python. Специалисты группы Supply Chain Security департамента Threat Intelligence экспертного центра Positive Technologies (PT ESC) обнаружили и предотвратили попытку кибератаки через репозиторий пакетов Python Package Index ( PyPI )...

Новая функция PyPI защищает пользователей от зомби-пакетов. Python Package Index ( PyPI ) запустил новую систему Project Archival, которая позволяет разработчикам архивировать свои проекты, четко обозначая, что обновлений больше не будет. Это поможет пользователям принимать осознанные решения...

Исследователи раскрыли всю правду о тщательно замаскированных вредоносах. Исследователи компании Fortinet выявили два вредоносных пакета, размещённых в репозитории Python Package Index ( PyPI ), которые предназначались для кражи конфиденциальной информации с заражённых устройств. Пакеты под...

Всего одна строка кода открыла доступ к миллионам загрузок. Репозиторий Python-библиотеки Ultralytics, широко используемой в задачах компьютерного зрения, подвергся атаке , в результате которой злоумышленники получили возможность выполнять код с привилегиями обработчика GitHub Actions...

Зловред Jarka использовал PyPI для глобальной атаки. Эксперты ЛК обнаружили атаку на цепочку поставок программного обеспечения, продолжавшуюся почти год. Через репозиторий PyPI распространялись вредоносные пакеты, замаскированные под инструменты для создания чат-ботов на основе нейросетей...

Киберугроза проникла в код тысяч разработчиков и осталась необнаруженной. Команда исследователей из компании Socket обнаружила вредоносный Python-пакет с названием «fabrice», замаскированный под популярную библиотеку «fabric». Этот пакет, присутствующий в PyPI с 2021 года и скачанный...

Мошенническая схема под видом торгового помощника набирает обороты. Исследователи в области кибербезопасности раскрыли новую вредоносную программу под названием «CryptoAITools», замаскированную под инструмент для торговли криптовалютой. Программа предназначена для кражи данных и опустошения...

Новый метод атаки превращает безопасные пакеты во вредоносное ПО. Команда JFrog обнаружила новый метод атак на цепочку поставок ПО, который был использован против PyPI -пакетов. Метод, получивший название «Revival Hijack», основан на возможности повторной регистрации удалённых пакетов...

Что скрывается за безобидными PyPI-пакетами? Специалисты Checmarx обнаружили PyPI-пакеты, содержащие вредоносный скрипт в файле «init.py», который передает данные пользователей боту в Telegram . Вредоносные пакеты, загруженные пользователем «dsfsdfds», оказались частью крупной...