Admin
Администратор
Вредоносное обновление библиотеки PyTorch Lightning подвергло разработчиков риску кражи учетных данных и удаленного взлома.
Злоумышленники загрузили версию 2.6.3 в Python Package Index (PyPI), где она распространялась среди разработчиков, пока её не удалили в конце апреля.
PyTorch Lightning — это открытый фреймворк, упрощающий обучение и развертывание моделей глубокого обучения. Скомпрометированный пакет выполнял скрытый код сразу после импорта, загружая JavaScript-рантайм Bun и запуская крупный обфусцированный вредоносный код. Microsoft идентифицировала вредоносное ПО как ShaiWorm, которое крадет учетные данные из облачных провайдеров, браузеров и файлов окружения. Lightning AI предупредила пользователей о риске и удалила вредоносную версию, заменив её безопасной. Этот инцидент подчеркивает необходимость усиления мер безопасности в цепочках поставок ПО.
