Python 官方软件库 PyPI 遭垃圾软件包洪水攻击
编译：奇安信代码卫士
这些垃圾软件包以不同的电影名称命名，而命名方式常常和托管着盗版内容的种子和 “warez” 站点有关。所有这些软件包均由唯一的假名维护人员账户发布，使得 PyPI 难以一次性删除这些软件包和垃圾账户。
上述提到的种子或 “warez” 站点提供盗版内容下载：watch-(movie-name)-2021-full-online-movie-free-hd-...
Sonatype 公司的资深软件工程师 Adam Boesch 在审计一个数据集时，注意到命名听起来很有趣的 PyPI 组件源自一款热门的电视情景剧剧名，之后发现了这些垃圾软件包。
尽管这些垃圾软件包已存在数周的时间，但 BleepingComputer 注意到这些垃圾账户仍然在不断地向 PyPI 增加更新的软件包。从搜索结果来看，这些软件包的数量超过了1万个，这个数据可能并不准确，但 PyPI 库中展示的垃圾软件包的真实数量可能要少得多。
这些恶意软件包的网页中包含电影流网站的垃圾关键字和链接，但其合法性存疑：
https://besflix[.]com/movie/XXXXX/profile.html如下是本文发布前一个小时刚刚新增的众多垃圾软件包之一：
BleepingComputer还注意到，其中每个软件包都是由独立的作者（维护人员）账户使用假名发布的，目的可能是使 PyPI 管理员难以下架这些软件包。
新闻媒体 ZDNet 在今年2月份报道称，PyPI 库中充斥着恶意的 “Discord”、”Google” 和 “Roblox” 密钥源，遭受大规模垃圾邮件攻击。当时，Python 软件基金会的执行董事 Ewa Jodlowska 表示，PyPI 管理员正在解决该攻击，然而从pypi.org 的本质来看，任何人均可在该软件库中发布内容，这类情况非常常见。
这些垃圾软件包中除了包含垃圾邮件关键字和指向准视频流网站的链接外，这些软件包中还包括多个文件，这些文件中的功能性代码和作者信息源自合法的 PyPI 软件包中。
例如，BleepingComputer 发现，垃圾包 “watch-army-of-the-dead-2021-full-online-movie-free-hd-quality” 中包含合法 PyPI 软件包 “jedi-language-server” 的作者信息和某些代码。
如 BleepingComputer 之前所报道的那样，恶意人员结合合法软件包和虚假或恶意软件包隐藏足迹，使得更难以检测这些软件包。
Boesch 表示，“在其它生态系统如 npm 中这种情况也并不少见，这些生态系统中具有数百万个软件包，好在这些软件包非常易于发现和避免。在使用前对软件包进行调查总没错。”
近几个月来，针对开原生态系统如 npm、RubyGems 和 PyPI 等的攻击已增多。威胁行动者通过恶意软件、恶意依赖关系混淆山寨对软件库发动洪水攻击，或通过令人警惕的软件包传播信息。因此确保这些仓库的安全已成为威胁行动者和仓库维护人员之间的打地鼠竞赛。
目前 PyPI 软件包维护人员并未就此事置评。我们将持续更进。
谷歌开源 Python 代码漏洞查找工具 Atheris
APT组织 Evilnum 使用新型 Python APT 攻击金融企业
奇安信开源卫士率先通过可信开源治理工具评估
https://www.bleepingcomputer.com/news/security/spammers-flood-pypi-with-pirated-movie-links-and-bogus-packages/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的
产品线。