Überprüfen Sie die Integrität und Herkunft aller verwendeten PyPI-Pakete.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
'Hades' Campaign Against PyPI Puts New Spin on Shai-Hulud
Die „Hades“-Kampagne hat 37 PyPI-Wheels und 19 Code-Pakete angegriffen. Dies stellt eine Weiterentwicklung der Bedrohungen für die Software-Lieferkette dar und betrifft Nutzer dieser Pakete. Es wird empfohlen, die Integrität der verwendeten PyPI-Pakete umgehend zu überprüfen.
SecBoard-Einordnung
Die Kompromittierung von PyPI-Paketen kann dazu führen, dass bösartiger Code in nachgelagerte Anwendungen und Systeme gelangt. Dies untergräbt das Vertrauen in die Software-Lieferkette und kann weitreichende Sicherheitsrisiken verursachen.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer über kompromittierte PyPI-Pakete Zugang zu internen Systemen von Unternehmen erhalten, sensible Daten exfiltrieren oder weitere Angriffe starten. Dies könnte zu Betriebsunterbrechungen und Reputationsschäden führen.
Empfehlung: Überprüfen Sie die Integrität und Herkunft aller verwendeten PyPI-Pakete. Implementieren Sie strenge Richtlinien für die Software-Lieferkette und nutzen Sie Tools zur Überwachung von Abhängigkeiten. Aktualisieren Sie regelmäßig Ihre Paketlisten und führen Sie Sicherheitsaudits durch.
Im erfassten Bestand
- ▸12. erfasste Meldung zu Shai-Hulud innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Organisationen, die PyPI-Pakete nutzen oder in ihrer Software-Lieferkette integrieren, sind potenziell betroffen. Insbesondere Entwickler und Unternehmen, die auf Open-Source-Komponenten angewiesen sind.
Prüfen
3- ▸Überprüfen Sie Ihre PyPI-Abhängigkeiten auf bekannte kompromittierte Pakete, die in der 'Hades'-Kampagne identifiziert wurden (nicht im Artikel spezifiziert).
- ▸Stellen Sie sicher, dass Ihre CI/CD-Pipelines Mechanismen zur Überprüfung der Integrität von Drittanbieter-Paketen (z.B. durch Hash-Vergleich oder Signaturprüfung) implementiert haben.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie den Netzwerkverkehr von Systemen, die PyPI-Pakete verwenden, auf ungewöhnliche Verbindungen oder Datenexfiltration.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Die spezifischen Namen der 37 PyPI-Wheels und 19 Code-Pakete, die betroffen waren, sind nicht im Artikel genannt.
- ▸Die genaue Art des bösartigen Payloads oder der Funktionalität der kompromittierten Pakete wird nicht beschrieben.
- ▸Die Identität der Angreifer oder ihre Motivation wird nicht erwähnt.
- ▸Die spezifischen Taktiken, Techniken und Prozeduren (TTPs) der 'Hades'-Kampagne über die Kompromittierung von PyPI-Paketen hinaus sind nicht detailliert.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„The latest attacks, which hit 37 PyPI wheels and 19 code packages, show a continued evolution of the persistent software supply chain threat.“
„not specified in the article“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.