Peretas Menargetkan Pengembang Python dalam Serangan Phishing Menggunakan Situs PyPI Palsu

Python Software Foundation (PSF) memperingatkan kepada pengguna terkait serangan phishing terbaru yang menyasar kredensial mereka melalui situs palsu yang meniru Python Package Index (PyPI).

PyPI sendiri adalah repositori utama untuk paket-paket Python, tersedia di pypi.org, dan menjadi tempat sentral bagi pengembang untuk mendistribusikan serta menginstal pustaka perangkat lunak pihak ketiga. Dengan ratusan ribu paket tersedia, PyPI merupakan sumber resmi untuk tool manajemen paket Python.

Menurut admin PyPI, Mike Fiedler, "PyPI belum diretas, namun pengguna menjadi sasaran serangan phishing yang mencoba mengelabui mereka agar masuk ke situs PyPI palsu. Selama beberapa hari terakhir, pengguna yang telah menerbitkan proyek di PyPI dengan email mereka dalam metadata paket mungkin telah menerima email berjudul '[PyPI] Verifikasi email' dari alamat email noreply@pypj.org."

"Ini bukan pelanggaran keamanan PyPI itu sendiri, melainkan upaya phishing yang mengeksploitasi kepercayaan pengguna terhadap PyPI. Email tersebut menginstruksikan pengguna untuk mengikuti tautan verifikasi alamat email mereka, yang mengarah ke situs phishing yang terlihat seperti PyPI tetapi bukan situs resmi."

Setelah membuka website malicious, pengguna yang ditargetkan akan diminta untuk sign-in, dan permintaan dikirim kembali ke PyPI untuk mengelabui pengguna agar percaya bahwa mereka telah masuk ke PyPI.

Kredensial yang dicuri diduga akan dimanfaatkan untuk melakukan serangan lanjutan, seperti menyusupkan malware ke dalam paket Python yang sah atau mengunggah paket berbahaya baru ke platform tersebut.

Sebagai respons, tim admin PyPI telah menambahkan banner peringatan di situs resminya dan tengah berupaya memutus kampanye phishing yang sedang berlangsung.

“Kami juga menunggu penyedia CDN dan pendaftar nama untuk menanggapi pemberitahuan merek dagang dan penyalahgunaan yang kami kirimkan kepada mereka terkait situs phishing,” tambah Fiedler.

Python Software Foundation mengimbau seluruh pengguna PyPI dan pengembang Python yang menerima email mencurigakan agar tidak mengklik tautan apapun dan segera menghapus pesan tersebut. Jika ada yang terlanjur memasukkan kredensial mereka di situs pypj[.]org, disarankan untuk segera mengganti kata sandi akun PyPI dan meninjau riwayat keamanan akun untuk aktivitas yang tidak biasa.

Sebagai catatan, pada Februari lalu, Python Software Foundation meluncurkan inisiatif Project Archival, sistem baru yang membantu penerbit PyPI mengarsipkan proyek mereka, yang menunjukkan kepada pengguna bahwa tidak ada pembaruan yang diharapkan. Kemudian, pada Maret 2024, PyPI sempat menghentikan sementara pendaftaran pengguna dan proyek baru akibat kampanye malware besar-besaran yang menyamar sebagai proyek sah.