在PyPI上發(fā)現(xiàn)了數(shù)十個(gè)惡意的HTTP庫
ReversingLabs研究人員在Python包索引(PyPI)存儲庫中發(fā)現(xiàn)了大量惡意庫。
根據(jù)ReversingLabs的軟件威脅研究員Lucija Valentic周三發(fā)布的一份報(bào)告，大多數(shù)被發(fā)現(xiàn)的文件都是偽裝成HTTP庫的惡意包。
Valentic解釋說:“這些軟件包的描述在很大程度上并沒有暗示其惡意。有些偽裝成真正的庫，并將其功能與已知的合法HTTP庫的功能進(jìn)行比較?！?/strong>
特別是，ReversingLabs發(fā)現(xiàn)了41個(gè)惡意PyPI包，安全研究人員將其分為兩種類型。
第一種是利用下載將第二階段的惡意軟件傳送到受損系統(tǒng)，而第二種是信息竊取者。
Valentic說:“不良行為者在命名惡意包時(shí)調(diào)用首字母縮寫HTTP并不罕見。開發(fā)人員經(jīng)常使用HTTP庫與第三方模塊功能的適當(dāng)api通信?！?/p>
安全研究人員寫道：“這種背景使得HTTP庫對惡意行為者和跟蹤在線惡意活動的研究人員非常有趣?！?/strong>
至于ReversingLabs檢測到的惡意軟件包，Valentic表示，它們有許多相似之處。
她在報(bào)告中寫道:“與正版軟件模塊相比，這些軟件包只包含幾個(gè)文件，大多數(shù)文件的識別信息非常少。這些包中包含的功能和目的都是虛構(gòu)的。這些軟件包的真正目的是惡意的，沒有描述?！?/strong>
這些惡意包的列表和其中一些的詳細(xì)描述可以在ReversingLabs咨詢中找到。
Valentic警告說:“在PyPI、npm、RubyGems和GitHub等平臺上的拼寫攻擊很常見。開發(fā)人員應(yīng)該經(jīng)常對其代碼中的第三方庫和其他依賴項(xiàng)進(jìn)行安全評估?！?/strong>
JavaScript開發(fā)者杰西·米切爾發(fā)現(xiàn)威脅者向開源npm存儲庫上傳了超過1.5萬個(gè)垃圾郵件包。
