PyPI 仓库中的恶意Python包将被盗AWS密钥发送至不安全的站点

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

开源包仓库 PyPI 中出现了多个恶意 Python 包，它们窃取敏感信息如AWS 凭据并将其发送到公开暴露的端点，供任何人访问。

PyPI 仓库供软件开发人员选择Python 项目的构建基石或和社区共享自己的工作。虽然PyPI 通常在响应平台上恶意包报告方面反应迅速，但在包提交前并不会对其进行审查，因此恶意包可能会存在一段时间。

Sonatype 公司的研究人员从PyPI 仓库中发现了五款恶意包：

• loglib-modules

• pyg-modules

• pygrata

• pygrata-utils

• hkg-sol-utils

前两个程序包试图模拟PyPI 上的合法且流行的项目，诱骗毫不知情或无经验用户进行安装；而其它三个程序包似乎并没有明显的针对性。这五个恶意程序包在代码方面具有相似性或连接。

暴露被盗数据

研究人员指出，程序包 “loglib-modules” 和 “pygrata-utils” 的目的是提取数据，盗取AWS凭据、网络接口信息和环境变量。

值得一提的是，“pygrata”本身并不包含数据盗取功能，而是将 “pygrata-utils”作为一个依赖。这就是为何尽管其他四个恶意程序包已被报告并立即删除，但 “pygrata” 存在的时间更长，尽管它自身并无法做太多的操作。被盗数据存储在TXT文件中并被上传至 PyGrata[.]com 域名中。

然而，该端点的安全性并未被正确加固，因此分析师得以了解被盗信息。分析师随后联系了域名所有人通知他们数据被暴露并要求给出解释。然而，之后该端点的安全性得到加固后，无法公开访问，也并未给出答复。这可能说明这些程序包的目的以及数据托管域名并不是合法的。

即使这些程序包用于合法的安全测试，其背后的操纵者从未试图利用被盗详情，但出现在PyPI 仓库可能导致凭据被暴露的“非自愿参与人员”暴露在重大风险中。

Pypi 仓库的安全性

由于这些恶意包并未使用 typosquatting 技术，因此它们并非随机攻击可能错拼某个字符的开发人员，而是为项目查找具体工具的用户。

建议软件开发人员不仅关注程序包名称，还应清理发布历史、上传数据、逐页链接、包描述和下载数量，帮助判断某个Python 包是真实的还是危险的虚假包。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

原文链接

https://www.bleepingcomputer.com/news/security/pypi-python-packages-caught-sending-stolen-aws-keys-to-unsecured-sites/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~