作者 | 云昭

8月14日，Checkmarx（一家以色列高科技軟件公司，世界上知名的代碼安全掃描軟件 Checkmarx CxSAST 的生產商）的研究人員發現，一位名為“devfather777”的網友發布了 12 個軟件包，這些軟件包被上傳到 PyPi 存儲庫，并使用與其他流行軟件包相似的名稱來誘騙軟件開發人員使用惡意版本，進而對俄羅斯反恐精英（Counter-Strike）1.6 服務器執行 DDoS 的仿冒攻擊。

惡意仿冒活動 

此次排版攻擊依賴于開發人員使用錯誤的名稱，導致使用了與合法軟件包相似的惡意軟件包。例如，此活動中的一些包及其合法對應包（括號中）是 Gesnim (Gensim)、TensorFolw (TensorFlow) 和 ipaddres (ipaddress)。

惡意軟件包仍在 PyPi 上 

上傳的惡意 PyPi 包的完整列表是：

• Gesnim
• Kears
• TensorFolw
• Seabron
• tqmd
• lxlm
• mokc
• ipaddres
• ipadress
• falsk
• douctils
• inda

由于軟件開發人員通常通過終端獲取這些包，因此很容易以錯誤的順序輸入其名稱和字母。由于下載和構建按預期繼續，受害者沒有意識到錯誤并感染了他們的設備。雖然 CheckMarx 向 PyPi 存儲庫報告了這些包，但在撰寫本文時它們仍然在線。

定位 CounterSrike 服務器 

在他們的應用程序中下載并使用這些惡意 Python 包之一后，setup.py 中的嵌入代碼會運行以確認主機是 Windows 系統，如果是，它會從 GitHub 下載有效負載 (test.exe)。

隱藏在設置腳本中的代碼 (Checkmarx)

在 VirusTotal（免費的可疑文件分析服務的網站）上掃描時，69 個防病毒引擎中只有 11 個將文件標記為惡意文件，因此它是一種用 C++ 編寫的相對較新/隱蔽的惡意軟件。

該惡意軟件會自行安裝并創建一個啟動條目以在系統重新啟動之間保持持久性，同時它還注入一個過期的系統范圍的根證書。接下來，它連接到硬編碼的 URL 以接收其配置。如果第三次嘗試失敗，它會尋找對發送到 DGA（域生成算法）地址的 HTTP 請求的響應。“這是我們第一次在軟件供應鏈生態系統中看到惡意軟件（菌株）使用 DGA，或者在這種情況下，使用 UGA 為惡意活動的新指令分配生成的名稱，”Checkmarx 在報告中評論道。

攻擊流程圖 （Checkmarx）

在分析師觀察到的案例中，配置命令惡意軟件將主機招募到 DDoS 機器人中，該機器人開始向反恐精英（CounterStrike）1.6 服務器發送流量。目標似乎是通過感染足夠多的設備來關閉 Counter-Strike 服務器，以使發送的流量使服務器不堪重負。用于托管惡意軟件的 GitHub 存儲庫已被刪除，但攻擊者可以通過濫用不同的文件托管服務來恢復惡意操作。

如果你使用了上面提到的 12 個軟件包，并且可能出現了打字錯誤，一定要仔細檢查你的項目，確認是否使用了合法的軟件包。

影響 

PyPi 被惡意攻擊已非個例。早在今年 6 月，PyPi python 包就被曝發現將被盜的 AWS 密鑰發送到不安全的站點。8 月 9 日，又有威脅分析人員在 PyPI 存儲庫中發現了 10 個惡意 Python 包，它們被用于竊取密碼的惡意軟件進而感染正在開發的系統。

Python Package Index (PyPi) 是一個包含超過 350000 個開源軟件包的存儲庫，數百萬開發人員可以輕松地將其整合到他們的 Python 項目中，以最小的努力構建復雜的應用程序。由于開源，軟件開發人員經常使用它來挑選基于 Python 的項目的構建塊，或者與社區分享他們的工作。但是，由于任何人都可以將包上傳到存儲庫，并且包不會被刪除，除非它們被報告為惡意，因此存儲庫更常被威脅者濫用，他們使用它來竊取開發人員憑據或部署惡意軟件。雖然 PyPi 可以快速響應平臺上的惡意包報告，但在提交之前由于缺少強有力的審查，因此危險包可能會潛伏一段時間。

參考鏈接：

https://medium.com/checkmarx-security/typosquatting-campaign-targeting-12-of-pythons-top-packages-downloading-malware-hosted-on-github-9501f35b8efb