在PyPI存储库中发现了几个恶意的Python库
由于包含恶意代码，PyPI门户网站删除了多达8个下载次数超过3万次的Python软件包，再次突显了软件包存储库如何演变为供应链攻击的热门目标。
JFrog的研究人员安德烈·波尔科夫尼琴科、奥马尔·卡斯皮和沙哈尔·梅纳什周四说：“公共软件存储库缺乏节制和自动安全控制，即使是没有经验的攻击者也可以利用它们作为传播恶意软件的平台，无论是通过排错、依赖混淆还是简单的社会工程攻击。”。
PyPI是Python包索引的缩写，是Python的官方第三方软件存储库，像pip这样的包管理器实用程序依赖它作为包及其依赖项的默认源。
下面列出了使用Base64编码进行模糊处理的Python包-
- pytagora（由leonora123上传）
- pytagora2（由leonora123上传）
- noblesse（xin1111上传）
- genesisbot（xin1111上传）
- 是（由xin1111上传）
- 痛苦（痛苦上传）
- noblesse2（由Preve上传）
- noblessev2（由Preve上传）
上述软件包可能被滥用，成为更复杂威胁的入口点，使攻击者能够在目标机器上执行远程代码，积累系统信息，掠夺信用卡信息，以及自动保存在Chrome和Edge浏览器中的密码，甚至窃取Discord身份验证令牌来冒充受害者。
PyPI并不是唯一一个作为入侵者潜在攻击面出现的软件包存储库，npm和RubyGems中发现的恶意软件包具有可能破坏整个系统或作为深入挖掘受害者网络的重要起点的功能。
上个月，Sonatype和Vdoo披露了PyPi中的误操作包，发现这些包下载并执行了一个有效负载外壳脚本，该脚本反过来检索了第三方cryptominer，如T-Rex、ubqminer或PhoenixMiner，用于在受害者系统上挖掘以太坊和Ubiq。
JFrog CTO Asaf Karas说：“在PyPI等流行存储库中不断发现恶意软件包是一种令人担忧的趋势，可能会导致广泛的供应链攻击。”。“攻击者能够使用简单的模糊技术引入恶意软件，这意味着开发人员必须予以关注和警惕。这是一个系统性的威胁，需要软件存储库的维护人员和开发人员在多个层面上积极应对。”
“在开发人员方面，诸如验证库签名和使用自动应用程序安全工具扫描项目中包含的可疑代码的提示等预防措施应该是任何CI/CD管道的组成部分。此类自动工具可以在使用恶意代码范例时发出警报，”Karas说补充。
