Fatti Rapidi

• Vecchi pacchetti Python fanno ancora riferimento a un dominio ormai non più posseduto, python-distribute.org, nei loro script di installazione.
• Se un attaccante acquistasse questo dominio, potrebbe distribuire malware a chiunque utilizzi i pacchetti vulnerabili.
• Pacchetti popolari come Tornado, pypiserver e xlutils sono tra quelli esposti a questo rischio latente.
• Attacchi simili si sono già verificati in altri ecosistemi, come l’incidente di fsevents su npm nel 2023.
• Gli attacchi alla supply chain tramite infrastrutture abbandonate sono una preoccupazione crescente per il software open-source.

La Minaccia Fantasma del Codice Legacy

Immagina una casa chiusa a chiave con una chiave di scorta dimenticata, nascosta sotto una cassetta delle lettere abbandonata da tempo. Per anni nessuno ci fa caso - finché qualcuno con cattive intenzioni la trova, entra e semina il caos. Questo è lo scenario inquietante che ora perseguita il Python Package Index (PyPI), il cuore pulsante del mondo Python, a causa di reliquie di vecchio codice e domini web scaduti.

Ricercatori di ReversingLabs hanno scoperto che diversi pacchetti Python legacy, ancora utilizzati in tutto il mondo, contengono script che si collegano a python-distribute.org - un dominio che un tempo forniva software legittimo ma che ora giace dormiente, in attesa di un nuovo proprietario. Se un cybercriminale acquistasse questo dominio, potrebbe servire malware in silenzio a chiunque dipenda da questi vecchi script, avvelenando istantaneamente la supply chain.

Come Siamo Arrivati Qui? Un Groviglio di Strumenti e Link Dimenticati

Il sistema di packaging di Python è sempre stato una coperta patchwork. Nei primi tempi, strumenti come distutils e setuptools si contendevano il predominio. Le dispute portarono alla creazione di “distribute”, che poi si fuse nuovamente, ma non prima che centinaia di progetti avessero inserito negli script di installazione indirizzi web hardcoded - come python-distribute.org. Questi script di automazione, pensati per semplificare la vita agli sviluppatori, ora agiscono come bombe a orologeria se quei domini hardcoded scadono.

Mentre la maggior parte dei progetti Python moderni ha voltato pagina, i resti di questi script persistono in sistemi più vecchi o raramente aggiornati. Alcuni pacchetti, come pypiserver, hanno rimosso solo di recente il codice rischioso. Altri, come slapos.core e xlutils, rimangono vulnerabili in alcune versioni. La minaccia non è teorica: un attacco proof-of-concept ha già dimostrato come un dominio dirottato possa consegnare codice malevolo a utenti ignari.

La Storia si Ripete: Gli Anelli Più Deboli della Supply Chain

Non è la prima volta che infrastrutture dimenticate aprono la porta agli attaccanti. Nel 2023, una svista simile nell’ecosistema JavaScript di npm ha permesso agli hacker di prendere il controllo di un dominio cloud abbandonato, iniettando malware in pacchetti ampiamente utilizzati - una vulnerabilità tracciata come CVE-2023-45311. La lezione è chiara: nel mondo open-source, le scorciatoie di ieri possono diventare gli incubi di sicurezza di oggi.

Con le supply chain software che si estendono su tutto Internet, ogni link abbandonato è un potenziale punto d’agguato. Man mano che gli attaccanti diventano più sofisticati, cresce il mercato dei domini scaduti legati al software, alzando la posta in gioco per sviluppatori e organizzazioni.

Conclusione: Difendersi dai Fantasmi del Codice

La vicenda di python-distribute.org è un colpo di avvertimento per l’intera comunità tecnologica. Codice legacy e infrastrutture trascurate non sono solo debiti tecnici - sono inviti aperti per i criminali. Per mantenere sicura la supply chain del software, gli sviluppatori devono controllare regolarmente le dipendenze, ritirare gli script obsoleti e restare vigili contro i fantasmi del codice passato. In cybersecurity, ciò che dimentichiamo può essere proprio ciò che ci fa più male.

WIKICROOK

• Supply Chain Attack: Un attacco alla supply chain è un attacco informatico che compromette fornitori di software o hardware affidabili, diffondendo malware o vulnerabilità a molte organizzazioni contemporaneamente.
• Domain Takeover: Il domain takeover si verifica quando un attaccante ottiene il controllo di un dominio web precedentemente utilizzato, permettendogli di servire contenuti malevoli o impersonare il proprietario originale.
• Bootstrap Script: Un bootstrap script è un programma automatico che configura il software scaricando e installando i componenti necessari, spesso da fonti online predefinite.
• Dependency: Una dependency è un codice o software esterno da cui un progetto dipende; se compromessa, può introdurre vulnerabilità in tutti i progetti dipendenti.
• PyPI (Python Package Index): PyPI è il repository online ufficiale per i pacchetti Python, che consente agli sviluppatori di caricare, condividere e scaricare librerie e strumenti riutilizzabili.