黑客利用PyPI 软件包传播 Nova Sentinel 恶意软件

admin 2024年2月26日22:12:01评论10 views字数 845阅读2分49秒阅读模式

黑客利用PyPI 软件包传播 Nova Sentinel 恶意软件

多家媒体披露,Python 软件包索引(PyPI)资源库中一个“休眠已久”的软件包在两年后突然再次更新了,研究人员发现,威胁攻击者利用其传播名为 Nova Sentinel 的信息窃取恶意软件。

黑客利用PyPI 软件包传播 Nova Sentinel 恶意软件

软件供应链安全公司 Phylum 表示,2022 年 4 月,一个为 django-log-tracker 的软件包首次发布出现在 PyPI 上。两年后,网络研究人员重新检测到该库出现异常更新。

研究人员指出,Django-log-tracker 自上线以来已经被其它用户下载了 3866 次,但链接的 GitHub 存储库自 2022 年 4 月 10 日以来没有更新过一次,本次恶意更新表明该库开发者的 PyPI 账户很可能已经被威胁攻击者入侵了。

值得一提的是,恶意版本(1.0.4)在发布当日被下载 107 次。目前,django-log-tracker 软件包已无法从 PyPI 下载。

研究人员在分析后发现,威胁攻击者的恶意更改简单明了,包括从远程服务器(“45.88.180[.] 54”)获取一个名为“Updater_1.4.4_x64.exe”的可执行文件,然后使用 Python os.startfile()函数启动它。二进制的执行文件嵌入了 Nova Sentinel 窃取恶意软件。(Sekoia 在 2023 年 11 月首次记录到其以虚假 Electron 应用程序的形式,在提供视频游戏下载的虚假网站上疯狂传播)

此外,威胁攻击者在恶意更新中还几乎删除了 django-log-tracker 软件包的大部分原始内容,只留下了 __init__.py 和 example.py 文件。

黑客利用PyPI 软件包传播 Nova Sentinel 恶意软件


最后,Phylum 安全研究人员强调,此次 PyPI 软件包传播恶意软件案例有趣之处在于,攻击向量似乎是通过一个受损的 PyPI 账户进行了一次供应链攻击,如果该软件包这是一个非常“流行”的包,那么任何将此包列为依赖项的项目,如果在其依赖项文件中没有指定版本或指定灵活版本,都会获取此包的最新恶意版本。

原文始发于微信公众号(FreeBuf):黑客利用PyPI 软件包传播 Nova Sentinel 恶意软件

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年2月26日22:12:01
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   黑客利用PyPI 软件包传播 Nova Sentinel 恶意软件http://cn-sec.com/archives/2527939.html

发表评论

匿名网友 填写信息