PyPI中新出現了一類新型混淆攻擊

針對惡意包的新型混淆技術可以在圖像中隱藏代碼。

Check Point 研究團隊最近在PyPI上檢測到一個新的、從未見過的惡意包，PyPI是Python編程語言的軟件庫。惡意包被設計用來隱藏圖像中的代碼(基于圖像的代碼混淆——隱寫術)，并通過Github上的開源項目感染PyPI用戶。這些發現反映了攻擊者嚴密的攻擊計劃，證明了PyPi上的混淆技術已經進化。

 常見惡意軟件包結構

開源域上的惡意軟件包通常包括3個主要組件：

惡意代碼：負責下載和運行病毒可執行文件，向攻擊者打開遠程shell，或者只是收集并發布它能找到的所有PII。

運營商代碼：負責注入惡意代碼。通常，它將是一個合法的包，其中包含作為安裝代碼一部分的惡意代碼段（如PyPI中的setup.py或NPM中的安裝后腳本）。運營商代碼通過混淆處理被隱藏，或者可以在安裝過程中從諸如pastebin.com之類的源動態下載。

感染軟件包：首先吸引受害者安裝惡意軟件包，一種常見的技巧是與普通合法名稱相似的包名。

攻擊者通常會仔細命名包名稱。選擇過于普通的包名可能會導致惡意應用程序被快速檢測到(對PyPI用戶具有很高的可見性)。選擇一個小眾名稱可導致包的下載量較少，這將降低成功感染的潛在數量，需要開發商通過積極與潛在用戶接觸，讓他們安裝受感染的包來填補這一空白。在大多數情況下，攻擊者似乎喜歡規模化攻擊，即模仿常見的包名，假設高下載量將保證至少發生一些感染，即使潛在的軟件包壽命更短。有些情況包括更獨特和更重要的惡意代碼設計選擇。Apicolor似乎使用的就是該方法，它有一個小眾且不受歡迎的軟件包，但會積極嘗試讓GitHub用戶安裝該應用程序。

 Apicolor

Check Point 研究團隊檢測到的惡意包名為“apicolor”。乍一看，它似乎是PyPI上許多開發包中的一個。它是相當新的，最初發布于今年10月31號，有一個大致的描述和一個混淆的標題，說明這是一個“REST API的核心庫”。普通惡意包的觀察者幾乎不會注意到這些。

在深入研究了包安裝腳本之后，研究人員注意到開頭有一個奇怪的、重要的代碼部分。它首先手動安裝額外的需求(不是通過更常見的需求部分)，然后從web下載一張圖片，使用新安裝的包處理圖片，并使用exec命令觸發處理生成的輸出。代碼片段與我們通常在一般setup.py安裝腳本中看到的代碼片段有很大不同。

手動安裝的兩個包是request(API使用中非常流行的幫助包)和judyb。judib包的細節最初看起來像一個“正在進行中”的包，有一個空的描述和一個混淆的標頭，說明這是“一個純Python judyb模塊”。深入研究發現，judyb與apicolor首次發布的時間大致相同。

judyb代碼原來是一個隱寫術模塊，負責隱藏和揭示隱藏在圖片中的信息。研究人員懷疑在apicolor安裝過程中下載的圖像可能包含其內部的隱藏部分。

現在回到apicolor安裝代碼，第一步是觀察從網上下載的圖片。這似乎是合法的，沒有什么異常。

將judyb的“揭示”方法應用于這張圖片，顯示了一條隱藏的信息，從該圖像中發現。該消息似乎包含一個base64混淆的Python代碼，這是惡意軟件包隱藏其惡意代碼的常用做法。

使用base64對該代碼段進行去混淆處理揭示了我們非常熟悉的常見惡意代碼模式；從web下載惡意exe并在本地運行。

在發現apicolor軟件包的惡意和載體部分后，接下來就應該介紹如何安裝這些軟件包以及這些感染是如何被引發的？

 主動感染

研究人員搜索使用這些包的代碼項目，使團隊能夠進一步了解它們的感染技術及進程。通過這一搜索，很明顯apicolor和judib非常小眾，在GitHub項目上有少量使用。

只有三個GitHub用戶似乎在他們的代碼中包含了這些包。將它們作為(超級冗余的)需求添加到其公開可訪問的GitHub項目中。不出所料，這三個用戶都是GitHub的新用戶。

 隱性感染

感染過程如下：

當用戶在網上搜索合法的項目時，會遇到這些GitHub開源項目，并在本地安裝它們，他們并不知道其中含有惡意的包。需要注意的是，代碼似乎有效。在某些情況下，存在空的惡意包。從安裝程序的角度來看，他們正在嘗試一個來自GitHub的開源項目，并不知道其中隱藏了惡意木馬程序部分。

細心的用戶只會考慮熱門的開源項目，而上述項目似乎符合這一標準。

 向PyPI披露

一旦這些包被識別出來，Check Point Research就會提醒PyPI它們的存在，之后PyPI就會進行刪除。

供應鏈攻擊?旨在利用組織和外部方之間的信任關系。這些關系可能包括合作伙伴關系、供應商關系或使用第三方軟件。攻擊者會破壞一個組織，然后向供應鏈的上游移動，利用這些受信任的關系來訪問其他組織的環境。近年來，這類攻擊越來越頻繁，影響也越來越大，因此開發人員必須確保自己的操作安全，反復檢查正在使用的每個軟件成分，特別是從不同存儲庫下載的軟件，尤其是那些不是自己創建的軟件。

研究人員發現了一種新型的有組織的攻擊，他們不僅會模仿一個常見的包，隱藏其惡意代碼，還會直接針對特定類型的用戶組織發起攻擊，將感染階段從高度關注的PyPI平臺轉移到GitHub，這使得檢測此類惡意包變得更加困難。