PyPI代码库又现恶意软件包，管家提醒码农警惕供应链攻击

2021-08-05 来源：原创作者：腾讯电脑管家

我要分享

【文章摘要】据Jfrog科技博客报道，PyPI存储库中发现恶意代码，有攻击者试图植入后门、窃取信用卡信息、窃取浏览器敏感数据、截屏并上传到指定地址。相关恶意代码在从PyPI网站删除之前已被下载3万次，腾讯安全专家发现国内部分镜像库尚存在这些恶意代码。腾讯电脑管家建议软件开发人员从PyPI代码库下载资源时，注意进行安全审核，避免将恶意代码安装到自己的开发环境中。

PyPI等软件存储库频曝供应链攻击事件

近年来，PyPI、GitHub等软件存储库多次曝出软件供应链攻击事件：攻击者将内置后门的代码上传到公共存储库，其他开发人员如果不注意对代码进行安全审核，就可能将有害代码应用到自己的开发环境，继而在分发自己开发的软件时，将恶意程序传播给更多用户。

有问题的 Python 包，被发现使用 Base64 编码进行了混淆：

· pytagora (uploaded by leonora123)

· pytagora2 (uploaded by leonora123)

· noblesse (uploaded by xin1111)

· genesisbot (uploaded by xin1111)

· are (uploaded by xin1111)

· suffer (uploaded by suffer)

· noblesse2 (uploaded by suffer)

· noblessev2 (uploaded by suffer)

PyPI 是 Python Package Index 的缩写，是 Python 的官方第三方软件存储库，诸如pip 之类的包管理器实用程序依赖它作为包及其依赖项的默认源。若将恶意代码上传到官方存储库，会导致依赖这些源（或镜像源）部署开发环境的软件开发者在无意中将恶意代码传播出去。从而构成典型的软件供应链攻击。

据管家了解，PyPI、Github及其他公共代码存储库本身并不对代码内容进行审核，任何开发人员均可注册，并上传代码。这种机制类似于某些社交媒体平台，平台方并不对内容安全性负责。

腾讯电脑管家建议软件开发人员在使用PyPI、Github等公共代码库分享的代码之前，对代码内容进行审阅，避免安装恶意代码。目前管家已将上述存在恶意代码的文件拉黑，帮助软件开发人员检测风险。