PyPI代码库又现恶意软件包,管家提醒码农警惕供应链攻击

2021-08-05 来源:原创 作者:腾讯电脑管家
【文章摘要】据Jfrog科技博客报道,PyPI存储库中发现恶意代码,有攻击者试图植入后门、窃取信用卡信息、窃取浏览器敏感数据、截屏并上传到指定地址。相关恶意代码在从PyPI网站删除之前已被下载3万次,腾讯安全专家发现国内部分镜像库尚存在这些恶意代码。腾讯电脑管家建议软件开发人员从PyPI代码库下载资源时,注意进行安全审核,避免将恶意代码安装到自己的开发环境中。

PyPI等软件存储库频曝供应链攻击事件

近年来,PyPIGitHub等软件存储库多次曝出软件供应链攻击事件:攻击者将内置后门的代码上传到公共存储库,其他开发人员如果不注意对代码进行安全审核,就可能将有害代码应用到自己的开发环境,继而在分发自己开发的软件时,将恶意程序传播给更多用户。

有问题的 Python 包,被发现使用 Base64 编码进行了混淆:

·     pytagora (uploaded by leonora123)

·     pytagora2 (uploaded by leonora123)

·     noblesse (uploaded by xin1111)

·     genesisbot (uploaded by xin1111)

·     are (uploaded by xin1111)

·     suffer (uploaded by suffer)

·     noblesse2 (uploaded by suffer)

·     noblessev2 (uploaded by suffer)

PyPI 是 Python Package Index 的缩写,是 Python 的官方第三方软件存储库,诸如pip 之类的包管理器实用程序依赖它作为包及其依赖项的默认源。若将恶意代码上传到官方存储库,会导致依赖这些源(或镜像源)部署开发环境的软件开发者在无意中将恶意代码传播出去。从而构成典型的软件供应链攻击。

据管家了解,PyPIGithub及其他公共代码存储库本身并不对代码内容进行审核,任何开发人员均可注册,并上传代码。这种机制类似于某些社交媒体平台,平台方并不对内容安全性负责。

腾讯电脑管家建议软件开发人员在使用PyPIGithub等公共代码库分享的代码之前,对代码内容进行审阅,避免安装恶意代码。目前管家已将上述存在恶意代码的文件拉黑,帮助软件开发人员检测风险。

Base64方式编码保存,隐藏恶意后门

恶意代码使用base64方式进行编码保存,主要为隐藏恶意后门相应功能。

下图中的后门代码,试图连接172.16.60.80:9009,然后执行从socket中读取的Python代码。

恶意代码通过查询sqlite数据库窃取Chrome保存的敏感信息,进一步获取浏览器中保存的所有账号和登录密码。

对电脑屏幕截屏窃取敏感信息。

将盗窃的上述敏感数据上传到如下接口地址:

hxxps://discordapp.com/api/webhooks/725066562536472720/dj6bPPENAE5SxFzMRB6m7FEPwIbrWkH_5PlSR6RG99pY73wjJ9dVoZTkOrvOQ04cZybR

PyPI恶意代码包威胁数据已加入腾讯安全威胁情报数据库,赋能给腾讯全系列安全产品。腾讯电脑管家已支持查杀拦截相关恶意软件包下载。


IOCs

MD5

453ddb774d66e75c9b65b68306957ef8

253325d92666c6bb1160780ed85705a5

a61b6c3551d91b1e08a6daf843bcc3ab

5274c20eda8a905784a85d898a038dde

 

参考资料:

https://jfrog.com/blog/malicious-pypi-packages-stealing-credit-cards-injecting-code/

https://www.theregister.com/2021/07/28/python_pypi_security

https://thehackernews.com/2021/07/several-malicious-typosquatted-python.html

电脑管家 V16

全新上线 更轻更快