马上注册，结交更多同城好友，享用更多功能！
您需要 登录 才可以下载或查看，没有帐号？立即注册
x
用 PyPI 包管理工具安装 python 软件很方便，但你今后要三思而后行了。 当输入这样一句命令后： pip install openvc 你也许并未发现异常，仔细一看可能才会察觉自己刚刚手抖，把 opencv 输错了。 但此时安装命令已经开始运行了，因为 openvc 其实也是一个真实存在的软件包，不过却是个恶意软件包。 最近，安全公司 Sonatype 发现，很多恶意软件都伪装成常见的 PyPI 包，往往只差几个字母。随着加密货币的火爆，黑客们开始把挖矿软件植入其中。如果用户手打 pip 安装命令手滑一下，自己的电脑就可能变成 " 矿机 "。 PyPI 里的挖矿软件 常用的绘图工具包matplotlib首当其冲。PyPI 今年有多个与之类似的恶意软件包，如mplatlib、maratlib（记住这个软件包名称）等等。 这类 " 李鬼 " 共有 7 种之多，都是一个叫做nedog123的用户上传到 PyPI。其中像 maratlib 还是今年 4 月份发布的。 这一组恶意软件以 "maratlib" 为核心，其他软件都是把它作为依赖项，比如 "learninglib" 就是这种情况：这代码还算是比较 " 直白 " 的，有些恶意软件将依赖项稍微隐藏了一下，比如 "mplatlib"：它把依赖项伪装成 "LKEK"，从第 47 行代码可以看出 LKEK 就是 maratlib。接着 Sonatype 的安全工程师又对 maratlib 1.0 安装包进行了分析，发现它已经伪装得很深了，使用一般工具已经很难分析这些代码里到底藏了什么。 他只好把版本倒回 0.6，这个版本的 maratlib 没有对代码做伪装，它会从 GitHub 下载和运行 Bash 脚本代码：但服务 bash 脚本的网址抛出 404 错误，说明这个地址已经被 GitHub 删除 , 或者被黑客 nedog123 废弃不用。经过更深的挖掘，这名安全工程师发现，黑客将代码迁移到了 "Marat Nedogimov" 和 "maratoff" 用户名下。 这个 aza2.sh 脚本会下载一个名为 "Ubqminer" 的挖矿软件，而上图中那一长串字符就是黑客的数字钱包地址。至此，案件已经告破。好消息是，PyPI 已经删除了这些恶意软件包。 但是，据 Sonatype 公司统计，这 7 个李鬼软件已经总共被下载超过5000 次。 恶意 PyPI 包防不胜防 这次发现的 maratlib，可能只是 PyPI 恶意软件包的冰山一角。PyPI 包管理工具的问题一直为用户所诟病。 今年 2 月，有人将 CUDA 加速包 CuPy 换成了恶意软件。还有一位白帽黑客发现，只要向公共库上传 PyPI 软件包，就能轻易替换掉私有化的同名软件包，大大增加了科技公司中毒风险。 △ 每月 PyPI 恶意软件包数量早在 2016 年，就有人用相似名称的方法发布 PyPI 恶意软件包，骗过了 1.7 万名程序员，导致这个恶意程序被运行了 4.5 万次，甚至连美国军方都中招了。 使用 pip 请谨慎 那么，我们如何预防被安装恶意的 PyPI 软件包？ 你以为只要认真检查安装命令就行了？No！ 由于 PyPI 绝大部分软件包都是第三方编写和维护的，这体现了开源的优势，但也埋下了审核不严的危险种子。 如今，很多软件都需要安装依赖项，个人不可能一一检查，甚至大公司也做不到。有时候一个软件里写了上百个依赖项，根本没法审查代码。 最好的办法就是监控 setup.py 的行为，在安装不太放心的软件包时，可以在容器中通过 pip 安装包，同时收集系统调用和网络流量，来分析其是否有恶意行为。 最后再提醒一下大家，不仅 pip 命令有风险，使用 npm、gem 等软件包安装命令也可能中毒，一定要对来源不明的软件包仔细核查。
免责声明：如果本文章内容侵犯了您的权益，请联系我们，我们会及时处理，谢谢合作！
| 
发表于 2021-6-25 05:17:21
支持
反对
