The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Компрометация PyPI-пакета Telnyx

29.03.2026 09:56 (MSK)

Разработчики VoIP-платформы Telnyx предупредили пользователей о компрометации пакета telnyx в репозитории PyPI, насчитывающего 756 тысяч загрузок в месяц и предоставляющего SDK для обращения к API Telnyx из программ на языке Python. 27 марта атакующие смогли опубликовать два вредоносных выпуска telnyx 4.87.1 и 4.87.2, получив доступ к PyPI после захвата учётных данных сопровождающего. Вредоносные версии распространялись с 6:51 до 13:13 (MSK), после чего были заблокированы администрацией PyPI. Инфраструктура, API, голосовые сервисы и платформа Telnyx не пострадали.

Компрометация была произведена в ходе более масштабной supply chain атаки TeamPCP, в ходе которой на днях были скомпрометированы Python-пакеты LiteLLM и Trivy, а также интегрирован вредоносный код в OpenVSX-дополнение Checkmarx и внедрён вредоносный червь в 68 пакетов в репозитории NPM. Используемый для шифрования отправляемых данных RSA-ключ совпадал с ключами, применявшимися в других атаках группы TeamPCP.

В сформированные атакующими версии был встроен вредоносный код, который был интегрирован в файл "_client.py" и активировался при импорте модуля. После активации с серверов атакующих загружался звуковой файл ringtone.wav для Unix-подобных систем и hangup.wav для Windows. Данные файлы успешно воспроизводились как звуковые, но содержали интегрированные при помощи стеганографии скрытые вредоносные обработчики.

На платформе Windows вредоносный обработчик сохранялся в систему как "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe" и запускался при каждом входе. В macOS и Linux осуществлялись поиск и отправка SSH-ключей, учётных данных, содержимого переменных окружения, токенов доступа к API, параметров подключения к облачным сервисам AWS, GCP, Azure и K8s, ключей от криптокошельков, паролей к СУБД и т.п. Обнаруженные данные шифровались с использованием алгоритмов AES-256-CBC + RSA-4096 и отправлялись HTTP POST-запросом на внешний хост.

  1. Главная ссылка к новости (https://news.ycombinator.com/i...)
  2. OpenNews: В PyPI размещены вредоносные выпуски библиотеки LiteLLM, насчитывающей 95 млн загрузок в месяц
  3. OpenNews: PyPI, Сrates.io, Packagist и Maven подняли вопрос сохранения устойчивости инфраструктуры
  4. OpenNews: Перехвачены 4 учётные записи в PyPI и выпущены вредоносные релизы num2words
  5. OpenNews: Фишинг-атака на сопровождающих Python-пакеты в репозитории PyPI
  6. OpenNews: Атакующие получили доступ к 174 учётным записям в каталоге PyPI
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/65097-telnyx
Ключевые слова: telnyx, pypi, attack
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (43) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (2), 12:34, 29/03/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +23 +/
    Вместо того, чтобы резать права софту на десктопе по примеру андроида, будут продвигать публикацию по паспорту в этих ваших pipах и npmах

    На нынешних разрабов нет надежды, средний разраб сейчас это быдло, которое меньше шарит в компах, чем те кого звали юзерами и ламерами в 00х

     
     
  • 2.14, Аноним (14), 18:15, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • –6 +/
    > Вместо того, чтобы резать права софту на десктопе по примеру андроида, будут продвигать публикацию по паспорту в этих ваших pipах и npmах

    Надо и то, и другое. И полный, решительный отказ от лолкалхостных ОС типа MacOS, Linux, Windows.

    > На нынешних разрабов нет надежды, средний разраб сейчас это быдло, которое меньше шарит в компах, чем те кого звали юзерами и ламерами в 00х

    А вот по себе других судить -- большая ошибка.

     
     
  • 3.43, Аноним (43), 11:56, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > полный, решительный отказ от лолкалхостных ОС типа MacOS, Linux, Windows.

    Точно! Каждому тонкого клиента на верифицированной прошивке в ПЗУ однократной записи, а всё остальное - в облаке на хостинге у кого надо. Покажи пример, начни с себя!

     
  • 2.18, Аноним (18), 20:24, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Я знатно отложил кирпичей, когда на windows установленный второй браузер сам легко скопировал себе все пароли из первого браузера. Оказывается их легко читает любая программа. Я этого не знал и теперь перед глазами побежал весь огромный список софта, который побывал на компе и потенциально скопировал все пароли. Вот почему об этом нигде не сказано?
     
     
  • 3.21, Аноним (21), 21:55, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    KWallet тут поможет
     
     
  • 4.24, Аноним (24), 01:16, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Не поможет. У винды тоже есть dpapi и что?

    Второй браузер имеет те же привилегии, что и первый. Более, того, если они хромиум подобные, то там только sqlite бд первого копирни и пользуйся. Так же для аффинных с на файрфоксе.

    Так что тут или флетпак или какой-то lsm.

     
  • 3.26, X86 (ok), 06:14, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    В Опере, Яндекс браузере есть шифрование паролей мастер-паролем. Вроде и в хромом должно быть
     
  • 3.30, Аноним (30), 08:36, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Это вопрос к аффтарам браузеров. То что они используют, прямо в MSDN написано, что для чувствительной информации лучше не использовать, вот уже день 20 точно.
     
     
  • 4.31, Аноним (30), 08:36, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Не день, а лет.
     
  • 2.22, Аноним (22), 23:43, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Открой для себе флетпак на линуксе.
     
     
  • 3.25, Аноним (25), 02:36, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Во флетпак проще всего трахалку на проверку паспорта всунуть, ибо де-факто это централизованной репа на флетхабе

    Винжоус и мак в плане установки стендалон пакетов прямо с сайта разраба в разы свободнее любого линукса

     
     
  • 4.44, Аноним (43), 12:11, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Меховая муфта подобна наручникам для неженки, который боится вытащить из неё свои пальчики.
    Настолько же несвободен и Линукс.
     
  • 2.32, Аноним (32), 09:09, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Все разработчики должны иметь свои ключи OpenPGP, аппаратные хранилища для них и подписывать своим ключом OpenPGP каждый комит и пакет релиза.

    Паспорт предъявить и пройти верификацию E-mail разработчик таки должен. При этом слать  в Google и подобным ничего не надо. После сверки фото и Ф.И.О в паспорте и указанными в ключе OpenPGP,, а также верификации E-mail указаного в ключе OpenPGP, подписать ключ может твой одногрупник, сотрудник на работе, знакомый с местного LUG, ... Если разраб соберёт 5-10 подписей своего ключа, то этого вполне хватит для верификации подписанного им релиза.

     
     
  • 3.33, Аноним (33), 09:32, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Не видел никого, кто подписывал pgp коммиты. Пока я учился пользоваться gpg, остальные учились кодить и копипастить со стековерфлоу. Программировать я так и не научился.
     
  • 3.38, OpenEcho (?), 10:54, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > подписать ключ может твой одногрупник, сотрудник на работе, знакомый с местного LUG

    И с какого испуга я должн верить этой банде, которая вполне возможно состоит из мертвых душ?

     
     
  • 4.46, Аноним (46), 14:22, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Нынче верить нельзя никому.

    Но если от твоего OpenPGP ключа к OpenPGP ключу разраба, WoT даёт >4 разных цепочек доверия, то можно с НЕКОЙ СТЕПЕНЬЮ ДОСТОВЕРНОСТИ принять ключ разработчика.

    Можешь публичную часть своего ключа и в удостоверяющем центре подписать. Удостоверяющим центрам РФ на все 100% веришь?

     
     
  • 5.53, OpenEcho (?), 06:33, 31/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Нынче верить нельзя никому.

    С этим не поспоришь :(

    > Но если от твоего OpenPGP ключа к OpenPGP ключу разраба, WoT даёт >4 разных цепочек доверия, то можно с НЕКОЙ СТЕПЕНЬЮ ДОСТОВЕРНОСТИ принять ключ разработчика.

    Если люди знают друг друга ЛИЧНО и подписывают ключи друг другу только тогда можно говорить о доверии, но как только мне покажут подписанный ключ неизвестными мне людьми, то они идут прямиком в лес. Веботраст как был только в теории так и остался, реально же для публичных проектов он не годится, потому как можно настрогать кучу фейковых друзей и подписать ими свой ключ.

    > Можешь публичную часть своего ключа и в удостоверяющем центре подписать.

    Это в какой части света удостоверяющие центры стали подписывать ПГП ключи?

    > Удостоверяющим центрам РФ на все 100% веришь?

    Удостоверяющий центр на то и удостоверяющий, в обязаности которого входит идентифицировать личность и гарантировать идентификацию (несмотря на то, что любой такой центр можно подписать левого казачка) и от названия страны это не зависит, тот кто рулит центром сертификации, тот и на коне. В любом случае это (паспорт, УЦ) ИМХО лучше чем веботраст подписанный непонятно кем.

     
  • 2.50, Аноним (50), 00:14, 31/03/2026 Скрыто ботом-модератором     [к модератору]
  • +/
     

  • 1.6, Аноним (6), 15:13, 29/03/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > шифровались с использованием алгоритмов AES-256-CBC + RSA-4096

    Расшифруют на квантовом компьютере, они вот-вот уже появятся

     
     
  • 2.7, Аноним (7), 15:15, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    https://blog.google/innovation-and-ai/technology/safety-security/cryptography-
     
  • 2.8, Аноним (8), 15:24, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Лет 10 назад гугл что-ли очень пиарил quantum supremacy, правда, через неделю оказалось, что классический алгоритм всё равно эффективнее (хоть и ресурсоёмкий) и гугл просто бракоделы (кто бы мог подумать).
     
     
  • 3.10, Аноним (7), 15:36, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    >кто бы мог подумать

    «Слышал звон, да не знает, где он».
    https://opennet.ru/63310-rsa

     
     
  • 4.11, Аноним (8), 15:47, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    это прямо про тебя. там речи о rsa не шло
     
  • 2.9, Ананоним (?), 15:31, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/
    >> шифровались с использованием алгоритмов AES-256-CBC + RSA-4096
    > Расшифруют на квантовом компьютере, они вот-вот уже появятся

    Да, да, вот вот появятся, на первый день после твоих похорон объявят, не сомневайся.

     
  • 2.12, Blade Runner (-), 17:55, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > они вот-вот уже появятся

    Технически -- да, вероятность их появления в самом ближайшем будущем высока. Но кто ж ПОЗВОЛИТ им появиться, да и ещё массово?

     
     
  • 3.13, Ананоним (?), 18:01, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> они вот-вот уже появятся
    > Технически -- да, вероятность их появления в самом ближайшем будущем высока. Но
    > кто ж ПОЗВОЛИТ им появиться, да и ещё массово?

    Эти ожидания ложны, потому что теория кривая и такие вычислители принципиально невозможны. А то что там вам толкают, больше похоже на аналоговые вычисления.

     
     
  • 4.15, Аноним (14), 18:18, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > похоже на аналоговые вычисления

    Которые, внезапно, куда лучше подходят для симуляции реальных процессов.

     
     
  • 5.16, Ананоним (?), 18:23, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> похоже на аналоговые вычисления
    > Которые, внезапно, куда лучше подходят для симуляции реальных процессов.

    Так "лучше", что сегодня про это почти никто не вспоминает, кроме узких применений.

     
  • 5.17, Ананоним (?), 18:25, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >> похоже на аналоговые вычисления
    > Которые, внезапно, куда лучше подходят для симуляции реальных процессов.

    Сегодня молодёжи так промыли мозги, что она на любой чих ставит микроконтроллер с прошивкой. Потому что ума не хватает аналоговую простейшую схему придумать и применить.

     
     
  • 6.19, Аноним (19), 21:12, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Сегодня молодёжи так промыли мозги

    Обучение рождает спрос.

     
  • 6.23, Аноним (23), 00:38, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    ne555 найти проще че транзистор из советского телевизора, так чему удивляться
     
     
  • 7.34, Аноним (33), 09:33, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    stm8s003f3p3 стоит дешевле ne555.
     
     
  • 8.45, Аноним (43), 12:33, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    stm8s003f3p3 - 50 р https www chipdip ru product stm8s003f3p6tr-mikrokontro... текст свёрнут, показать
     
  • 6.27, Аноним (27), 08:07, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Аналоговую схему не продашь, а со своей прошивкий ma little vendorlock получается
     
  • 5.20, Аноним (19), 21:14, 29/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    не надо путать квантовые "аналоговые" вычисления и обычные аналоговые вычислители.
     
     
  • 6.40, Ананоним (?), 11:23, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > не надо путать квантовые "аналоговые" вычисления и обычные аналоговые вычислители.

    И тебе не надо путать окружающую реальности, с бреднями от "яйцеголовых", которые они рассказывают тебе после слова "квантовый".

     
  • 4.35, Аноним (35), 10:35, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Топологические квантовые компьютеры:
    полноценные (не отжиг), работают долго, при "комнатной" температуре,
    устойчивы к шумам, уже есть физические реализации кубита
    (потенциально же их огромное разнообразие).

    http://www.3dnews.ru/922286/ статья 2015 года, но понятная "на пальцах".

    Прошло уже 11 лет. По всей видимости, они уже вовсю работают.
    Просто мы об этом не знаем.

    (Не зря же чень сохраняют весь интересующий TLS трафик, до которого дотянутся.)

     
     
  • 5.39, Ананоним (?), 11:20, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > устойчивы к шумам, уже есть физические реализации кубита
    > (потенциально же их огромное разнообразие).
    > http://www.3dnews.ru/922286/ статья 2015 года, но понятная "на пальцах".
    > Прошло уже 11 лет. По всей видимости, они уже вовсю работают.
    > Просто мы об этом не знаем.
    > (Не зря же чень сохраняют весь интересующий TLS трафик, до которого дотянутся.)

    Раз тебе вся эта тема очень понятная как "на пальцах", пожалуйста, напиши для нас здесь принятое тобой определение кубита, а мы здесь попытаемся не заржать! :D

     
     
  • 6.41, Аноним (35), 11:46, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ну, тэбе-та повод и не нужен, чтобы "поржать".
    Мы, как и все умные люди, пользоваться поиковиком умеем.
    Начни разуметь хотя бы с https://ru.wikipedia.org/wiki/Кубит .
    Китаева и других читать не предлагаю… всё одно бесполезно.
     
     
  • 7.42, Ананоним (?), 11:52, 30/03/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Ну, тэбе-та повод и не нужен, чтобы "поржать".
    > Мы, как и все умные люди, пользоваться поиковиком умеем.
    > Начни разуметь хотя бы с https://ru.wikipedia.org/wiki/Кубит .
    > Китаева и других читать не предлагаю… всё одно бесполезно.

    Ну всё как я и предполагал. Ты даже не в состоянии скопировать-цитировать что ты считаешь правильным определением, и тупо отсылаешь что-то изучать. Тебе не придёт в голову что всё уже изучено твоим оппонентом и сделаны выводы. Ты так уверен в своей правоте, что для тебя "поржать над тобой на анонимном форуме" может сильно ударить по самооценке, и ты избегаешь прямого предложения синхронизировать определения.

    Дам тебе вторую попытку, поржать хочется же. Так какое у тебя определение кубита?

     
     
  • 8.51, Аноним (51), 01:29, 31/03/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Это такая штука которая может иметь три состояния состояние 1, состояние 2 и со... текст свёрнут, показать
     

  • 1.28, Аноним (30), 08:34, 30/03/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Сначала они за ролинг релизы, а потом ноют, что в последний версии библиотеки уязвимость
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру