PyPI 官方仓库遭遇 150+ 恶意包疯狂投毒-低调大师

PyPI 官方仓库遭遇 150+ 恶意包疯狂投毒

2022-06-29 505

2022年06月23日，OSCS 开源安全社区监测发现 PyPI 官方仓库被攻击者上传了agoric-sdk，datashare，datadog-agent 等150+个恶意钓鱼包，OSCS官方提醒广大开发者关注。

PyPI 是 Python 的包管理工具，提供了对第三方 Python 包的查找、下载、安装、卸载等功能。

攻击者mega707通过模仿agoric，datadog等知名软件包进行钓鱼，当用户安装攻击者的恶意包时，攻击者可窃取用户信息，环境地址等敏感信息上传至指定服务器。

本次投毒的代码虽然没有执行恶意的逻辑，但大批量进行投毒测试是一种非常恶劣的行为。

投毒分析

恶意包通过如下过程进行攻击：

datadog（云监控厂商）官方分别在 GitHub 上提供了仓库名称为datadog-agent的开源代码，以及在 PyPI 上提供了名称为datadog安装包。

当用户安装监控软件 datadog 时，容易不区分来源下载到攻击者上传的名为 datadog-agent 的 Python 包（官方 Python 包名称为 datadog ）

(攻击者上传 datadog 相似名称包的截图)

恶意代码安装时会将用户名和安装路径，系统名称上传到远程服务器。

(恶意代码片段)

OSCS 开源安全社区查询 datadog-agent 包的下载数量，发现在上传后仅6小时就有 225次的下载。截止到6月27日，攻击者 mega707 一共上传了 150+ 个钓鱼包。

进行代码溯源发现钓鱼包使用的是如下地址的代码：

https://github.com/007divyachawla/python-dependency-confusion-attack

OSCS 开源安全社区建议使用 Python 的用户排查 Python 环境是否安装恶意钓鱼包，避免遭受损失。

时间线

6月6日，攻击者注册 pip 账号 mega707

6月23日，攻击者上传 93 个恶意 Python 包

6月23日，OSCS 开源安全社区监测到本次恶意 Python 包投毒行为

6月27日，OSCS 开源安全社区再次监测到本次投毒的恶意 Python 包数量增加到153个

微信关注我们

原文链接：https://www.oschina.net/news/201185

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Next.js 12.2 发布，React 应用开发框架

Next.js 12.2 发布了，改进内容包括： Middleware (Stable):整个应用的动态路由 On-Demand ISR (Stable):内容更新无需重新发布 Edge API Routes (Experimental):高性能的 API Edge SSR (Experimental):服务器端渲染 APP SWC Plugins (Experimental):支持通过插件来扩展编译过程 Improvements tonext/image:包含全新的next/future/image组件. 完整的改进说明请看Blog - Next.js 12.2 | Next.js (nextjs.org Next.js 是一个用于服务器渲染的通用 JavaScriptWeb 应用程序的小型框架，该框架基于 React、Webpack 和 Babel 构建，为该网站提供了强大的支持。

2022-06-29

488

前言随着现代化应用的普及和企业上云的深入，项目中会涉及越来越多的云资源使用。企业上云过程中，往往会有平台（Platform）团队和基础设施（Infra）团队：平台团队关注业务，根据业务场景进行抽象，对研发人员屏蔽基础设施；基础设施团队关注安全及成本，为平台团队规划了不同的子账号、权限策略以及网络配置。这种分层管理的必然结果导致应用和基础设施的生命周期会完全不同，因此基础设施管理员、平台管理员、研发人员关注的云资源视角也不尽相同。比如： **管理整家企业的云账号，规划企业的网络配置，并为各个平台团队设置不同子账号以及访问策略； **持有子账号，根据容灾及高可用场景划分地域、安全、流量策略；根据业务场景规划日志、存储、数据库的规格、备份配置、Quota 等；根据研发流程要求规划 CI/CD 流水线；研发人员在使用平台过程中，仅需关注代码、数据、配置等程序相关内容：当需要访问数据库时，向平台索要数据连接串；当需进行日志采集时，将采集路径提交给平台，由平台操作日志服务完成日志采集配置挂载；当需要使用持久化存储时，将本地挂载路径提交给平台，由平台操作存储服务完成文件目录挂载；发布代...

2022-06-29

446

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。