W4SP Stealer瞄准Python开发人员，发动供应链攻击

攻击者继续创建虚假的 Python 包和初级混淆技术，通过 W4SP Stealer 感染开发人员系统。该木马旨在从开发人员系统中窃取密币信息、提取敏感数据并收集凭据。

软件供应链公司 Phylum 发布安全报告指出，威胁行动者已经在PyPI 上创建了29个热门软件包克隆，包名称听起来非恶意或者类似于合法软件包的名称，即利用了typosquatting技术。如开发人员下载并加载了这些恶意包，则开始脚本也通过一系列混淆步骤安装W4SP Stealer 木马。研究人员指出，这些包的下载来那个已达到5700次。

虽然W4SP Stealer 针对的是密币钱包和金融账户，但当前攻击活动最重要的目标是窃取开发人员的机密信息。Phylum 公司的联合创始人兼首席技术官 Louis Lang 指出，“它和我们常看到的邮件钓鱼活动没有什么不同，只不过攻击者这次仅针对开发人员。鉴于开发人员通常拥有对机密信息的访问权限，对于组织机构而言，如遭成功攻击会带来灾难性后果。”

未知攻击者或攻击者组织对PyPI 发动的攻击，仅仅是最近针对软件供应链的威胁。开源软件组件通过仓库服务如 PyPI 和 NPM 分发，是热门攻击向量，从导入软件的依赖数量急剧增长即可看出。攻击者尝试利用这些生态系统将恶意软件分发到不知情的开发人员系统中，如2020年发生的针对 Ruby Gems 生态系统和Docker Hub 镜像生态系统攻击事件那样。8月份，Check Point 公司的研究人员发现10个PyPI 包释放窃取信息的恶意软件。

在最新发生的攻击活动中，研究人员分析指出，“这些程序包更致力于将 W3SP Stealer 传播到 Python 开发人员的机器中。随着这种不断变换攻击技术的活动的发展，未来将看到更多类似的恶意软件出现。”

这起攻击利用了错误拼写常见程序包名称、或者在未正确审查软件来源的情况下就使用新程序包的开发人员。恶意包 “typesutil” 是热门Python 包 “datetime2” 的副本，只是做了一些修改。

最初，导入该恶意软件的程序都会在Python 加载依赖时，运行命令，在设置阶段下载恶意软件。然而，由于PyPI 执行了某些检查，因此攻击者开始通过whitespace推送超出多数代码编辑器正常可查看范围的可疑命令。分析指出，“攻击者对攻击技术稍作修改，并没有将导入转出到明显地方，而是放在远离屏幕的地方，利用Python 很少使用的分号，将恶意代码像合法代码那样插入同样的行。”

虽然 typosquatting 是一种低效的攻击方式，成功率极低，但相比潜在回报而言，投入几乎不值一提。研究人员指出，“这是和日常通过恶意包污染包生态系统的攻击者的一场数字游戏。遗憾的是，和潜在回报相比，部署其中一个恶意包的成本极低。”

该攻击的最终目标是安装“窃取信息的木马 W4SP Stealer，该木马枚举手哈子和系统、窃取存储在浏览器中的密码、攻击密币钱包并通过关键字如‘银行’和‘机密’来搜索相关文件。除了常见的金钱奖励外，收集到的信息还可被用于访问关键基础设施或获取开发人员的其它凭据。”

研究人员已在识别攻击者方面取得一定进展并将报告发送给相关企业。