大家好,我是杰哥。

用PyPI包管理工具安装python软件很方便,但你今后要三思而后行了。

当输入这样一句命令后:

pip install openvc

你也许并未发现异常,仔细一看可能才会察觉自己刚刚手抖,把opencv输错了。

但此时安装命令已经开始运行了,因为openvc其实也是一个真实存在的软件包,不过却是个恶意软件包。

卧槽!我只是 pip 安装输错字母,就中了挖矿病毒!插图

最近,安全公司Sonatype发现,很多恶意软件都伪装成常见的PyPI包,往往只差几个字母。

随着加密货币的火爆,黑客们开始把挖矿软件植入其中。如果用户手打pip安装命令手滑一下,自己的电脑就可能变成“矿机”。

PyPI里的挖矿软件

常用的绘图工具包matplotlib首当其冲。PyPI今年有多个与之类似的恶意软件包,如mplatlib、maratlib(记住这个软件包名称)等等。

这类“李鬼”共有7种之多,都是一个叫做nedog123的用户上传到PyPI。其中像maratlib还是今年4月份发布的。

卧槽!我只是 pip 安装输错字母,就中了挖矿病毒!插图1

这一组恶意软件以“maratlib”为核心,其他软件都是把它作为依赖项,比如“learninglib”就是这种情况:

卧槽!我只是 pip 安装输错字母,就中了挖矿病毒!插图2

这代码还算是比较“直白”的,有些恶意软件将依赖项稍微隐藏了一下,比如“mplatlib”:

卧槽!我只是 pip 安装输错字母,就中了挖矿病毒!插图3

它把依赖项伪装成“LKEK”,从第47行代码可以看出LKEK就是maratlib。

接着Sonatype的安全工程师又对maratlib 1.0安装包进行了分析,发现它已经伪装得很深了,使用一般工具已经很难分析这些代码里到底藏了什么。

卧槽!我只是 pip 安装输错字母,就中了挖矿病毒!插图4

他只好把版本倒回0.6,这个版本的maratlib没有对代码做伪装,它会从GitHub下载和运行Bash脚本代码:

卧槽!我只是 pip 安装输错字母,就中了挖矿病毒!插图5

但服务bash脚本的网址抛出404错误,说明这个地址已经被GitHub删除,或者被黑客nedog123废弃不用。

经过更深的挖掘,这名安全工程师发现,黑客将代码迁移到了“Marat Nedogimov”和“maratoff”用户名下。

卧槽!我只是 pip 安装输错字母,就中了挖矿病毒!插图6

这个aza2.sh脚本会下载一个名为“Ubqminer”的挖矿软件,而上图中那一长串字符就是黑客的数字钱包地址。

至此,案件已经告破。好消息是,PyPI已经删除了这些恶意软件包。

但是,据Sonatype公司统计,这7个李鬼软件已经总共被下载超过5000次。

恶意PyPI包防不胜防

这次发现的maratlib,可能只是PyPI恶意软件包的冰山一角。PyPI包管理工具的问题一直为用户所诟病。

今年2月,有人将CUDA加速包CuPy换成了恶意软件。还有一位白帽黑客发现,只要向公共库上传PyPI软件包,就能轻易替换掉私有化的同名软件包,大大增加了科技公司中毒风险。

卧槽!我只是 pip 安装输错字母,就中了挖矿病毒!插图7

早在2016年,就有人用相似名称的方法发布PyPI恶意软件包,骗过了1.7万名程序员,导致这个恶意程序被运行了4.5万次,甚至连美国军方都中招了。

使用pip请谨慎

那么,我们如何预防被安装恶意的PyPI软件包?

你以为只要认真检查安装命令就行了?No!

由于PyPI绝大部分软件包都是第三方编写和维护的,这体现了开源的优势,但也埋下了审核不严的危险种子。

如今,很多软件都需要安装依赖项,个人不可能一一检查,甚至大公司也做不到。有时候一个软件里写了上百个依赖项,根本没法审查代码。

最好的办法就是监控setup.py的行为,在安装不太放心的软件包时,可以在容器中通过pip安装包,同时收集系统调用和网络流量,来分析其是否有恶意行为。

最后再提醒一下大家,不仅pip命令有风险,使用npm、gem等软件包安装命令也可能中毒,一定要对来源不明的软件包仔细核查。