Python 套件庫驚現惡意程式！aiocpa 透過 Telegram Bot 竊取用戶加密金鑰

PyPI 套件庫管理員已緊急封鎖「aiocpa」套件，原因是其最新版本被發現含有惡意程式碼，會透過 Telegram 機器人竊取用戶的私密金鑰。

這個套件原為加密支付 API 的用戶端工具，提供同步與非同步功能，自 2024 年 9 月發布以來已累積超過 12,100 次下載。套件遭封鎖後，用戶無法下載安裝，套件維護者也無法進行任何更新或修改。

資安研究公司發現，套件作者在 PyPI 上發布惡意更新的同時，刻意保持 GitHub 儲存庫的程式碼無害，藉此規避安全檢測。

目前尚無法確認這次的惡意更新是原開發者所為，還是其帳號遭駭客入侵。

惡意程式碼首次出現在套件版本 0.1.13，其中 Python 腳本「sync.py」遭到修改。該修改會使套件在安裝後立即解碼並執行一段混淆的程式碼。這段程式碼經過 50 次遞迴編碼和壓縮，目的是透過 Telegram 機器人竊取受害者的 Crypto Pay API 金鑰。

值得注意的是，Crypto Pay 是一個以 Crypto Bot（@CryptoBot）為基礎的支付系統，讓用戶能透過 API 進行加密貨幣的收付與轉帳。

資安研究員更指出，這次攻擊手法與大多數針對 npm 和 PyPI 等開源儲存庫的攻擊模式截然不同。aiocpa 背後的駭客不是使用假冒套件名稱或拼字錯誤來混淆視聽，而是採取更具策略性的方式：先發布合法的加密用戶端工具來累積用戶群，再透過惡意版本更新來執行攻擊。​

此事件凸顯一個重要的資安觀念：下載套件時，不僅要檢查其關聯儲存庫，更要掃描套件本身的原始碼。這個案例證實，攻擊者能在維持儲存庫程式碼清白的同時，於生態系統中散布惡意套件。同時也提醒我們，套件過去的安全紀錄並不能保證其未來的安全性。

本文轉載自  TheHackerNews。