11个恶意python包被指窃取 Discord 令牌、安装shell
编译：代码卫士
数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。
为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。
注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。
PyPI 团队上周删除了11个恶意Python包，它们执行多种恶意行为如收集和窃取用户数据、密码和Discord 访问令牌，以及安装远程访问 shell 以获取对受感染系统的远程访问权限。
发现并报告这些恶意包的研究人员指出，这11个恶意包在被发现并报告前已被下载并安装3万余次。值得注意的是，这些恶意包并非由同一个作者开发，因为每个包中都包含一个略有不同的恶意行为以及不同的数据提取方法。
程序包 | 下载数量 | 自动化测试指标 | 描述 |
importantpackage | 6305 | 具有混淆输入的shell 进程 | 使用 trevorc2 客户端， psec.forward.io.global.prod.fastly.net 的隐藏 connectback shell |
important-package | 12897 | 具有混淆输入的shell 进程 | 使用 trevorc2 客户端， psec.forward.io.global.prod.fastly.net 的隐藏 connectback shell |
Pptest | 10001 | 可疑版本 | 使用DNS 发送 hostname+'|'+os.getcwd()+'|'+str(self.get_wan_ip())+'|'+local_ip_str |
Ipboards | 946 | 敏感文件处理可疑版本 | 依赖混淆，将用户信息（用户名、主机名）通过DNS隧道发送至b0a0374cd1cb4305002e.d.requestbin.net |
Owlmoon | 3285 | 具有被混淆输入的 eval | Discord 令牌窃取木马，将令牌发送至https://discord.com/api/webhooks/875931932360331294/wA0rLs3xX_2JgqlfqEfpYoL9zer_Qs7hpsMbwaDl6-UByE_ZRHiXm0t1lr-o_3RFBqBR |
DiscordSafety | 557 | 具有混淆输入的exec | Discord 令牌窃取木马，将令牌发送至https://tornadodomain.000webhostapp.com/stlr.php?token= |
trrfab | 287 | 敏感文件处理可疑版本 | 依赖混淆，将用户信息（ID、主机名、 /etc/passwd、/etc/hosts、/home）发送至 yxznlysc47wvrb9r9z211e1jbah15q.burpcollaborator.net |
10Cent10 | 490 | Shell 生成可疑版本 | 硬编码地址104.248.19.57的 Connectback shell |
10Cent11 | 490 | Shell 生成可疑版本 | 硬编码地址104.248.19.57的 Connectback shell |
Yandex-yt | 4183 | 可疑版本 | 将受陷信息和定向打印至https://nda.ya.ru/t/iHLfdCYw3jCVQZ，可能是恶意域名（目前似乎并不活跃） |
Yiffparty | 1859 | 具有被混淆输入的 eval | Discord 令牌窃取木马，将令牌发送至. https://discord.com/api/webhooks/875931932360331294/wA0rLs3xX_2JgqlfqEfpYoL9zer_Qs7hpsMbwaDl6-UByE_ZRHiXm0t1lr-o_3RFBqBR |
（注：“可疑版本”说明有可能遭受依赖混淆攻击）
在这11个恶意包中，其中11个包明显为恶意包，而另外1个包 “yandex-yt”似乎是某种测试或玩笑，但它可轻易变身为恶意交付渠道。
在这11个恶意包中，2个还滥用了依赖混淆技术，即攻击者将软件包的名称命名为可能用于企业内网中的名称，希望当企业包被删除且依赖关系树未更新时pull 其公开包。
此前，研究员 Alex Birsan 曾使用非恶意 PoC 代码块测试了这种“依赖混淆”攻击。他将这些代码库上传到公开库中并坐等会不会被导入，结果如他所料，证实了外部代码可通过目标企业的内部应用和系统，轻松被导入，苹果、微软、Netflix、PayPal、Shopify、特斯拉、优步无一幸免。最后他获得超过13万美元的奖励，并实现取得目标组织机构的许可进行了实验。这一举动招来大量猎洞人员的仿效，据 Sonatype 公司的分析，在 Birsan 的研究成果发布后48小时内，npm 仓库中被上传了超过275个类似程序包。
“木马源”攻击影响多数编程语言的编译器，将在软件供应链攻击中发挥巨大作用GitHub 在 “tar” 和 npm CLI 中发现7个高危的代码执行漏洞
流行的 NPM 包依赖关系中存在远程代码执行缺陷
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件
微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
SolarWinds 供应链事件后，美国考虑实施软件安全评级和标准机制
找到软件供应链的薄弱链条
GitHub谈软件供应链安全及其重要性
揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等 35 家科技公司开源软件漏洞安全风险分析
开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析
集结30+漏洞 exploit，Gitpaste-12 蠕虫影响 Linux 和开源组件等限时赠书|《软件供应链安全—源代码缺陷实例剖析》新书上市
热门开源CI/CD解决方案 GoCD 中曝极严重漏洞，可被用于接管服务器并执行任意代码
GitKraken漏洞可用于盗取源代码，四大代码托管平台撤销SSH密钥
因服务器配置不当，热门直播平台 Twitch 的125GB 数据和源代码被泄露
彪马PUMA源代码被盗，称客户数据不受影响
https://therecord.media/malicious-python-packages-caught-stealing-discord-tokens-installing-shells/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。