Хакер #315. Positive Hack Days Fest 3
В середине июня 2025 года разработчики PyPI обнаружили активность, которую сочли масштабной вредоносной кампанией. Так как она была связана с email-адресами на inbox[.]ru, для них заблокировали все новые регистрации и добавления таких ящиков. Как выяснилось теперь, за этими действиями стояли специалисты по безопасности из компании Mail.ru (VK), которой принадлежит inbox[.]ru.
В июне представители PyPI сообщали, что в ходе обнаруженной вредоносной кампании было создано более 250 новых учетных записей и опубликовано свыше 1500 новых проектов, «что привело к путанице среди конечных пользователей, злоупотреблениям ресурсами и потенциальным проблемам безопасности».
«Проекты создавались под разными именами и не содержали кода, так что речь идет не о вредоносном ПО, а о возможной попытке зарегистрировать пакеты с такими же точками входа, как у популярных библиотек (часто это интерфейсы для запуска из командной строки). Такие точки входа не обязаны совпадать с именем самого пакета на PyPI.
Эта схема состояла из массового создания аккаунтов, подтверждения доступа, а затем запуска масштабной “атаки”. В зависимости от ее эффективности, это мог быть тест перед настоящей атакой в будущем.
Администрации PyPI стало известно о ситуации 8 июля 2025 года от пользователя, который сообщил, что работал с большой языковой моделью (Sonnet 4). Та рекомендовала установить несуществующий пакет — типичный пример slopsquatting’а. Это хороший повод напомнить: всегда проверяйте, что именно вы устанавливаете, и не копируйте названия пакетов, которые советует ИИ или кто-то случайный из интернета», — писали разработчики.
В итоге все подозрительные проекты были удалены из PyPI, а учетные записи с ящиками inbox[.]ru деактивированы.
Также в целом было запрещено использование почтового домена inbox[.]ru на PyPI. То есть стало нельзя регистрировать новые аккаунты с адресами на inbox[.]ru, а также добавлять почтовые ящики на inbox[.]ru в уже существующие учетные записи.
Напомним, что впервые термин slopsquatting был предложен весной текущего года, и он образован по аналогии со словом «тайпсквоттинг». Только в отличие от тайпсквоттинга, слопсквоттинг связан не с эксплуатацией опечаток, а с тем фактом, что злоумышленники могут создавать вредоносные пакеты в PyPI или npm, используя названия, которые часто «выдумывают» ИИ-модели.
Фактически слопсквоттинг представляет собой новый тип атак на цепочку поставок. Такие атаки становятся возможны благодаря широкому применению генеративных ИИ-инструментов для кодинга. Дело в том, что модели склонны к «галлюцинациям» и могут придумывать, а затем рекомендовать пользователям несуществующие пакеты.
Как стало известно теперь, никакой вредоносной кампании в PyPI не было вовсе, и разработчики пишут, что блокировка с inbox[.]ru снята.
По их словам, выяснилось, что подозрительная активность сходила не от злоумышленников, а от «компании, которой принадлежит почтовый домен inbox[.]ru», то есть от специалистов Mail.ru (VK).
«После нашей прошлой публикации представители материнской компании, которой принадлежит inbox[.]ru, связались с администрацией PyPI, чтобы обсудить сложившуюся ситуацию. Они выразили желание решить проблему и восстановить возможность регистрации аккаунтов PyPI для своих пользователей с адресами электронной почты в домене inbox[.]ru, — объясняют разработчики. — Они подтвердили, что [массовая] регистрация учетных записей пользователей на PyPI исходила от внутренней команды безопасности, которая стремилась “предотвратить возможные злоупотребления внешними библиотеками” для атак на их системы.
Также они подтвердили, что провели рабочую встречу и решили в будущем отказаться от этой практики, разработать альтернативные методы обнаружения и предотвращения злоупотреблений, и принесли извинения за этот инцидент».
Иными словами, специалисты с ящиками на inbox[.]ru создали в PyPI множество пакетов, тем самым «заняв» определенные названия, которые теоретически могли бы использоваться злоумышленниками для атак.
Стоит отметить, что весной текущего года ИБ-исследователи изучали «галлюцинации» ИИ и обнаружили, что примерно в 20% случаев (576 000 сгенерированных примеров кода на Python и JavaScript) рекомендуемые искусственным интеллектом пакеты вообще не существуют.
Количество уникальных имен несуществующих пакетов превысило 200 000, причем 43% из них постоянно появлялись в ответах LLM при похожих промптах, а 58% повторялись хотя бы один раз из десяти.
Вероятно, именно такие пакеты создавали специалисты по безопасности, стремясь опередить злоумышленников в вопросах слопсквоттинга и тайпсквоттинга.
