針對IT開發者而來！27 個惡意 PyPI 套裝軟體下載量達數千次

近半年來，一個未知的威脅行為者一直在PyPI資源庫發布typosquat軟體套件，目的是發佈能夠獲得持久性、竊取敏感性資料和存取加密貨幣錢包以獲取經濟利益的惡意軟體。

Checkmarx 在一份新報告中說，這 27 個套裝軟體偽裝成流行的合法 Python 庫，吸引了數千次下載。大部分下載來自美國、中國、法國、香港、德國、俄羅斯、愛爾蘭、新加坡、英國和日本。

外媒報導，這次攻擊的一個顯著特點是利用隱寫術(steganography )將惡意有效載荷隱藏在一個影像檔中，增加了攻擊的隱蔽性。

這些套裝軟體包括 pyefflorer、pyminor、pyowler、pystallerer、pystob 和 pywool，其中最後一個套裝軟體於 2023 年 5 月 13 日被植入。

這些惡意套裝軟體的一個共同點是使用 setup.py 腳本，引用其他惡意套裝軟體pystob 和 pywool。這些套裝軟體部署了一個 Visual Basic 腳本（VBScript），以便下載和執行一個名為 "Runtime.exe "的檔，實現在主機上的持久化。

惡意套裝軟體的二進位檔案中嵌入了一個編譯檔案，能夠讓惡意攻擊者從網路瀏覽器、加密貨幣錢包和其他應用程式中收集資訊。

Checkmarx 觀察到的另一種攻擊鏈將可執行程式碼隱藏在 PNG 圖像（"uwu.png"）中，隨後解碼並運行該圖像，以提取受影響系統的公共 IP 位址和UUID。

特別是 Pystob 和 Pywool，它們以 API 管理工具為名，只是為了將資料外泄到 Discord webhook，並試圖將 VBS 檔放置在 Windows 開機檔案夾中來維持持久性。
 
滲透開源生態系統的不僅是威脅行為者。外媒表示 GitGuardian披露了2,922 個 PyPI 專案中總共存在 3,938 個獨特的秘密，其中 768 個獨特的秘密被發現是有效的。包括 AWS 金鑰、Azure Active Directory API 金鑰、GitHub OAuth 應用程式金鑰、Dropbox 金鑰、SSH 金鑰以及與 MongoDB、MySQL、PostgreSQL、Coinbase 和 Twilio 關聯的憑證。
 
更重要的是，其中許多機密外洩不只一次，跨越多個發行版本，使外洩總數達到 56,866 次。

GitGuardian 表示，暴露開源軟體套件中的秘密會給開發者和用戶帶來巨大的風險。攻擊者可以利用這些資訊來獲得未經授權的訪問、冒充軟體包維護者或透過社交工程策略操縱用戶。
 
針對軟體供應鏈的持續攻擊浪潮也促使美國政府本月發布新指南，要求軟體開發人員和供應商保持和提供軟體安​​全意識。
 
軟體供應商應改進其軟體發展流程，不僅要降低對員工和股東的傷害風險，還要降低對用戶的傷害風險。

本文轉載自TheHackerNews。