亚洲三级电影在线观看,欧美国产成人在线,狠狠综合久久AV一区二区三区

用PyPI包管理工具安裝python軟件很方便，但你今后要三思而后行了。

當輸入這樣一句命令后：

你也許并未發現異常，仔細一看可能才會察覺自己剛剛手抖，把opencv輸錯了。

但此時安裝命令已經開始運行了，因為openvc其實也是一個真實存在的軟件包，不過卻是個惡意軟件包。

最近，安全公司Sonatype發現，很多惡意軟件都偽裝成常見的PyPI包，往往只差幾個字母。

隨著加密貨幣的火爆，黑客們開始把挖礦軟件植入其中。如果用戶手打pip安裝命令手滑一下，自己的電腦就可能變成“礦機”。

PyPI里的挖礦軟件

常用的繪圖工具包?matplotlib首當其沖。PyPI今年有多個與之類似的惡意軟件包，如mplatlib、maratlib（記住這個軟件包名稱）等等。

這類“李鬼”共有7種之多，都是一個叫做?nedog123?的用戶上傳到PyPI。其中像maratlib還是今年4月份發布的。

這一組惡意軟件以“maratlib”為核心，其他軟件都是把它作為依賴項，比如“learninglib”就是這種情況：

這代碼還算是比較“直白”的，有些惡意軟件將依賴項稍微隱藏了一下，比如“mplatlib”：

它把依賴項偽裝成“LKEK”，從第47行代碼可以看出LKEK就是maratlib。

接著Sonatype的安全工程師又對maratlib 1.0安裝包進行了分析，發現它已經偽裝得很深了，使用一般工具已經很難分析這些代碼里到底藏了什么。

他只好把版本倒回0.6，這個版本的maratlib沒有對代碼做偽裝，它會從GitHub下載和運行Bash腳本代碼：

但服務bash腳本的網址拋出404錯誤，說明這個地址已經被GitHub刪除,或者被黑客nedog123廢棄不用。

經過更深的挖掘，這名安全工程師發現，黑客將代碼遷移到了“Marat Nedogimov”和“maratoff”用戶名下。

這個aza2.sh腳本會下載一個名為“Ubqminer”的挖礦軟件，而上圖中那一長串字符就是黑客的數字錢包地址。

至此，案件已經告破。好消息是，PyPI已經刪除了這些惡意軟件包。

但是，據Sonatype公司統計，這7個李鬼軟件已經總共被下載超過5000次。

惡意PyPI包防不勝防

這次發現的maratlib，可能只是PyPI惡意軟件包的冰山一角。PyPI包管理工具的問題一直為用戶所詬病。

今年2月，有人將CUDA加速包CuPy換成了惡意軟件。還有一位白帽黑客發現，只要向公共庫上傳PyPI軟件包，就能輕易替換掉私有化的同名軟件包，大大增加了科技公司中毒風險。

早在2016年，就有人用相似名稱的方法發布PyPI惡意軟件包，騙過了1.7萬名程序員，導致這個惡意程序被運行了4.5萬次，甚至連美國軍方都中招了。

使用pip請謹慎

那么，我們如何預防被安裝惡意的PyPI軟件包？

你以為只要認真檢查安裝命令就行了？No！

由于PyPI絕大部分軟件包都是第三方編寫和維護的，這體現了開源的優勢，但也埋下了審核不嚴的危險種子。

如今，很多軟件都需要安裝依賴項，個人不可能一一檢查，甚至大公司也做不到。有時候一個軟件里寫了上百個依賴項，根本沒法審查代碼。

最好的辦法就是監控setup.py的行為，在安裝不太放心的軟件包時，可以在容器中通過pip安裝包，同時收集系統調用和網絡流量，來分析其是否有惡意行為。

最后再提醒一下大家，不僅pip命令有風險，使用npm、gem等軟件包安裝命令也可能中毒，一定要對來源不明的軟件包仔細核查。

參考鏈接：
[1]https://blog.sonatype.com/sonatype-catches-new-pypi-cryptomining-malware-via-automated-detection
[2]https://arstechnica.com/gadgets/2021/06/counterfeit-pypi-packages-with-5000-downloads-installed-cryptominers/
[3]https://www.freebuf.com/articles/web/254820.html
[4]https://github.com/rsc-dev/pypi_malware

曉查發自凹非寺?
量子位報道 | 公眾號 QbitAI

久久国产乱子伦精品免费M,亚洲一区二区三区91,欧美国产在线视频,国产精品视频久久

臥槽！只是pip安裝輸錯字母，就中了挖礦病毒

PyPI里的挖礦軟件

惡意PyPI包防不勝防

使用pip請謹慎

久久国产乱子伦精品免费M,亚洲一区二区三区91,欧美国产在线视频,国产精品视频久久

臥槽！只是pip安裝輸錯字母，就中了挖礦病毒

PyPI里的挖礦軟件

惡意PyPI包防不勝防

使用pip請謹慎

相關新聞