#pypi — Public Fediverse posts

Claude sam opublikował malware w PyPI – nowy raport Anthropic

30 lipca 2026 roku firma Anthropic opublikowała raport (we właściwym dla siebie, alarmistycznym i cringe’owym stylu) dotyczący incydentów bezpieczeństwa z udziałem AI. Szczególnie interesujący przypadek to utworzenie przez Claude złośliwego pakietu Python i opublikowanie go w PyPI. Okazało się, że w ciągu ok. godziny został on pobrany i uruchomiony m.in....

#WBiegu #Ai #Anthropic #Claude #Malware #Pypi

https://sekurak.pl/claude-sam-opublikowal-malware-w-pypi-nowy-raport-anthropic/

Wednesday night I'll be speaking at the NYC Open Source Security User Group meetup.

If your release pipeline still has stored API tokens in it, come find out how to delete them for good.

Wed Aug 26, 6-8 PM, pizza at 6, talk at 6:30
Amazon office, 12 W 39th St, NYC

Free, but you must register for building access - last chance: https://luma.com/5mwalp6p?tk=JivtHQ

Already registered? See you soon! Bring a colleague, have them sign up first - building access requires photo ID.

#Python #OpenSourceSecurity #SupplyChainSecurity #NYCTech #PyPI

@nedbat

Oh holy crap, I have to stop using #PyPI / #pip / #pipx now, too? 🤦‍♂️

GitHub и PyPI сбоят в России: РКН предлагает ГосVPN — что это значит и что делать

Если у вас в начале июня внезапно завис git clone , а pip install начал валиться на каждом втором пакете — выдохните, дело не в вас и не в карме. С мая 2026 доступ к ключевым инструментам разработчика из России потихоньку деградирует. 8 июня Роскомнадзор предложил отрасли решение, и отрасль встретила его, мягко говоря, без оваций. Давайте по порядку: что сломалось, почему достаётся именно репозиториям, что это за «ГосVPN» такой, почему инженеры от него отмахиваются и что можно сделать прямо сейчас — без шаманства, обычной инженерной гигиеной. Сразу одна важная вещь. Дальше я честно помечаю, где у меня твёрдый пруф, а где — реконструкция по одному источнику или просто разумное предположение. РКН официально отрицает блокировки PyPI и GitHub, часть атрибуций («это ТСПУ») технически правдоподобна по характеру сбоев, но ведомством не подтверждена. Так что местами я буду оговариваться — это не занудство, это честность.

https://habr.com/ru/articles/1047444/

#GitHub #PyPI #Роскомнадзор #ТСПУ #DPI #ГосVPN #блокировки #VPN #DevOps #инфраструктура

PyPI Packages Poisoned in Hades Supply Chain Attack

Malicious actors have launched a supply-chain attack on the Python Package Index (PyPI), infecting 19 packages with 37 tainted versions that can download and execute a hidden JavaScript payload. This sneaky Hades campaign uses poisoned Python packages to spread its reach, putting developers and users at risk.

https://osintsights.com/pypi-packages-poisoned-in-hades-supply-chain-attack?utm_source=mastodon&utm_medium=social

#SupplyChain #Pypi #Hades #Python #EmergingThreats

Il colloquio di lavoro come arma: Lazarus Group e la campagna Graphalgo contro gli sviluppatori crypto

https://insicurezzadigitale.com/il-colloquio-di-lavoro-come-arma-lazarus-group-e-la-campagna-graphalgo-contro-gli-sviluppatori-crypto/

🚀 Mein erstes Paket ist live! 🛰️
Ich habe gerade toybox-calc veröffentlicht – ein kleines CLI-Tool für Funkamateure, um die optimale Länge des Strahlers für die Comet HFJ-350M (Toy Box) Antenne zu berechnen.

Jetzt verfügbar auf:
📦 PyPI: pip install toybox-calc
🏔️ AUR (Arch Linux): pikaur -S python-toybox-calc
Inklusive i18n Support (DE/EN/JA) und ANSI-Farben fürs Terminal. Vy 73 de DO3EET! 📻

#HamRadio #Amateurfunk #Python #ArchLinux #AUR #PyPI #OpenSource #HFJ350M #ToyBox #POTA #SOTA #Linux

Released v1.3.3. of #Yaralyzer, my surprisingly popular tool for visualizing YARA rule matches with colors (a lot of colors).

1. --export-png images lets you export images of the analysis

2. almost all command line options (including multi argument ones like --yara-rules-dir) can be permanently set via environment variables or .yaralyzer file

3. couple of small bug fixes and debugging related command line options

You can try it on the web here: https://yaratoolkit.securitybreak.io/
(I didn't build this website, Thomas Roccia from Microsoft just integrated Yaralyzer into his existing site)

- Github: https://github.com/michelcrypt4d4mus/yaralyzer
- Pypi: https://pypi.org/project/yaralyzer/
- on macOS you can also get it with #Homebrew by installing Pdfalyzer: brew install pdfalyzer

#ascii #asciiArt #blueteam #cybersecurity #detectionEngineering #DFIR #forensics #FOSS #GPL #hacking #infosec #KaliLinux #maldoc #malware #malwareAnalysis #malwareDetection #openSource #pypi #python #redteam #reverseEngineering #reversing #Threatassessment #threathunting #YARA #YARArule #YARArules

Just a little note for anyone interested...

Running ```pip-audit``` revealed a #vulnerability in pip25.2 with no #PyPI database update available yet.

The immediate fix is a manual patch update to pip 25.3.dev0 - #Development version.

#python #python3 #pip #pip3 #pipx #security

⚠️ PyPI revokes all tokens stolen in the GhostAction supply chain attack
Malicious GitHub Actions exfiltrated tokens
- No PyPI packages compromised
- Developers advised to use short-lived Trusted Publisher tokens

💬 How do you safeguard DevOps pipelines against supply chain threats?

Follow @technadu for updates.

#CyberSecurity #SupplyChainAttack #PyPI #Python #DevSecOps #GhostAction #OpenSourceSecurity #TokenSecurity #GitHubActions

#TreeTime #Trees #MindMap #Editor #OpenSource #FreeSoftware

In reaction to several turns of recent events, TreeTime is starting to move away from #GitHub to #Codeberg: https://codeberg.org/jkanev/treetime#readme

There will be a transition period in which both repositories will receive updates in parallel.

The installable packages in #Pypi, the webpage on https://tree-time.info, and the documentation in #readthedocs will stay unaffected.

https://blog.gslin.org/archives/2025/08/20/12585/pypi-%e6%9c%80%e8%bf%91%e7%99%bc%e8%a1%a8%e7%9a%84%e4%bf%9d%e8%ad%b7%e6%a9%9f%e5%88%b6-%e9%98%b2%e6%ad%a2-domain-resurrection-attack/

PyPI 最近發表的保護機制 (防止 Domain Resurrection Attack)

#account #attack #cctld #domain #email #gtld #mail #pypi #rdap #recovery #resurrection #security #tld #whois

PyPI Prohibits inbox.ru email domain registrations

https://blog.pypi.org/posts/2025-06-15-prohibiting-inbox-ru-emails/

#HackerNews #PyPI #Prohibits #inbox.ru #email #domain #registrations #inboxru #pypi #cybersecurity #emailsecurity #domainregistration #technews

AWS Glue for Spark のジョブから、AWS CodeArtifact を経由して PyPI のライブラリをインストールする
https://dev.classmethod.jp/articles/aws-glue-for-spark-aws-codeartifact-pypi/

#dev_classmethod #AWS_Glue #AWS_CodeArtifact #PyPI #Spark #PySpark

Python-Pakete selbst veröffentlichen

In diesem Artikel lernst du, wie du Python-Pakete erstellst, sicher verwaltest und auf PyPI veröffentlichst.

#Python #pip #pipx #pypi.org #Sicherheit #Pakete #Bibliotheken #Skripte #Linux

https://gnulinux.ch/python-pakete-selbst-veröffentlichen