PyPI блокирует сотни доменов для борьбы с атаками

Python Package Index (PyPI), крупное хранилище открытого программного обеспечения на языке Python, начал блокировать сотни истёкших доменов, чтобы противостоять так называемым «атакам воскресших доменов». Речь идёт об особом виде кибератаки на цепочку поставок: злоумышленник перерегистрирует домен, который ранее принадлежал автору популярных программных пакетов, но был забыт или перестал продлеваться.

Часто в описании пакетов на PyPI указывается контактная информация, в том числе email разработчика — обычно это электронная почта на собственном домене. Если разработчик бросает проект или забывает продлить домен, любой может купить этот домен «вторым кругом», получив не только сайт, но и доступ к email-сервису, который используется для сброса пароля в PyPI. Так злоумышленник получает полный контроль над пакетами автора, может обновить их и внедрить вредоносный код, а пользователи продолжают спокойно загружать пакеты, считая их доверенными.

Теперь PyPI начал проверять домены, связанные с учетными записями разработчиков: если домен истёк, он «отключается» для новых сбросов паролей или обновлений — это затрудняет перехват аккаунтов через забытые домены. Администратор PyPI Майк Фидлер заявил, что нововведения значительно повышают защищённость платформы.

Решение, разумеется, не закроет все уязвимости — например, за июнь 2025 года PyPI уже отметил почти 2 000 неподтверждённых email-адресов, что говорит о масштабах проблемы. Самый ранний известный случай атаки через воскресший домен на платформе был зарегистрирован в 2022 году: неизвестные купили домен, связанный с пакетом ctx, и внедрили через него вредоносный код.

PyPI также напоминает, что одного блокирования истёкших доменов мало: всем пользователям стоит включить двухфакторную аутентификацию и добавить второй резервный email — причём использовать рекомендуют общеизвестные сервисы, такие как Gmail или Outlook, а не только кастомные адреса.