Python多个第三方恶意库事务风险公告

颁布功夫 2019-12-25

事务概述


近日，发现roels、req-tools和dark-magic三个Python第三方恶意库。这三个库别离部署在Python官方的第三方库下载网站（https://pypi.org）上，当用户装置使用上述Python第三方库时可能被装置恶意法式。


这种攻击情况属于Python库供给链攻击，这三个恶意库的在Python官方的第三方库下载网站上的链接如下：


roels： https://pypi.org/project/reols

req-tools： https://pypi.org/project/req-tools

dark-magic： https://pypi.org/project/dark-magic


恶意库roels和req-tools是一个木马法式，它们的名称与正常的Python第三方库roles和reqtools名称相近, 当用户在通过Python内置号令pip装置roles或reqtools库时,可能由于输入谬误导致下载装置恶意库reols或req-tools。通过对roels和req-tools两个Python第三方恶意库的代码分析，发现reols和req-tools两个python第三方恶意库在装置引用之后，会自动衔接一个号令和节造服务器，该服务器域名为：securedmaininfo5.zapto.org。目前，该域名已经失效，但不排除将来有启用的可能。


roels和req-tools两个Python第三方恶意库中蕴含了多种恶意职能，蕴含：查抄受害者机械是否为虚构机或沙箱环境、获取键盘输入、截屏操作、获取受害者主机上文件、盗取浏览器存储的密码和执行肆意系统号令等职能。


dark-magic恶意库的职能描述是一个对偶大局的线性约束方程的求解器，当用户在装置该恶意库时可能会被装置上恶意法式。通过对dark-magic库的分析，发此刻其装置法式中暗藏了一段加密的恶意代码，代码职能是从远程下载一个假装成图片体式的可执行法式并起头执行。远程下载链接为：http://somwhereinrussia.ru/win/kitten.jpg。目前，该链接已经失效，但不排除将来有启用的可能。


拥有肯定编程能力的Python使用者，可能受到这三个恶意库的影响，一旦受害者主机装置上这三个Python第三方恶意库，同时攻击者激活号令和节造服务器和恶意法式下载链接，就能够齐全节造受害者的电脑。目前，Python官方的第三方库下载网站（https://pypi.org）尚未断根这三个恶意库。


建复建议


目前，Python官方的第三方库下载网站（https://pypi.org）尚未断根这三个恶意库,建议查抄自己的主机，查看是否装置过roels、req-tools和dark-magic这三个Python第三方恶意库，实时排查有关引入这三个库的项目。有关号令如下：


使用pip list |grep roels 查看第三方库的装置情况，

使用pip uninstall roels卸载第三方库。


参考链接


https://mp.weixin.qq.com/s/jgn7gjIowumq-RXnmS_AjA