OSCS揭露PyPI官方仓库遭受150个恶意软件包大规模注入攻击？

本文共计896个文字，预计阅读时间需要4分钟。

报告来源：OSCS开源安全社区（oscs1024.com）报告作者：OSCS更新日期：2022-06-27事件概述：2022年6月23日，OSCS开源安全社区监测到PyPI官方仓库被攻击者上传了恶意包agoric-sdk。

报告来源：OSCS开源安全社区（oscs1024.com）

报告作者：OSCS

更新日期：2022-06-27

事件简述

2022年06月23日，OSCS 开源安全社区监测发现 PyPI 官方仓库被攻击者上传了 ​​agoric-sdk​​​ ​​datashare​​​ ​​datadog-agent​​ 等150+个恶意钓鱼包，OSCS官方提醒广大开发者关注。

PyPI 是 Python 的包管理工具，提供了对第三方 Python 包的查找、下载、安装、卸载等功能。 攻击者 mega707通过模仿 ​​agoric​​​， ​​datadog​​ 等知名软件包进行钓鱼，当用户安装攻击者的恶意包时，攻击者可窃取用户信息，环境地址等敏感信息上传至指定服务器。

本次投毒的代码虽然没有执行恶意的逻辑，但大批量进行投毒测试是一种非常恶劣的行为。

投毒分析

恶意包通过如下过程进行攻击： Datadog（云监控厂商）官方分别在 GitHub 上提供了仓库名称为​​datadog-agent​​​的开源代码，以及在 PyPI 上提供了名称为 ​​datadog​​ 安装包。