聚焦源代码安全，网罗国内外最新资讯！
数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。
为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。
注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。
Solana 是一款以高速度低费用的交易而为人熟知的区块链平台，是开发人员和威胁人员眼中的香饽饽。该恶意 solana-token 包利用这一点欺骗基于 Solana 的应用程序上的开发人员。
研究人员提到，“虽然该包的 PyPI 着陆页中并未包含相关描述，但包名称和功能表明，寻求创建自己的区块链的开发人员很可能就是目标。”
该恶意包包括的妥协指标有：
-
硬编码IP地址，用于提取被盗数据。
-
出站通信用于非标准的网络端口。
-
读取本地文件的代码，这是常见的信息窃取工具行为。
该包尤其隐秘的行为是“扫描 Python 执行栈，之后将包含在该执行链中所有文件中的源代码提取到远程服务器中。”这样做的目标是窃取开发人员机密和硬编码的加密凭据，而这些机密和凭据通常在源代码中未得到保护。这类敏感信息可使攻击者越权访问加密钱包和关键基础设施。
这并非该恶意包首次现身。此前就有名称相同的程序包在2024年发布并被删除。但由于此前的包是由包作者而非 PyPI 安全员工所删除，因此包名称再次成为可用状态。报告提到，“这导致包名称可复用，这表明下架早前solana-token 包的恶意人员可能正是新的恶意版本的幕后黑手。”
原文始发于微信公众号（代码卫士）：PyPI 恶意包攻击 Solana 开发人员
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论