两个恶意Python库窃取SSH和GPG密钥事务风险公告

颁布功夫 2019-12-05

事务概述


近日，，，Python安全团队从PyPI（Python 的官方第三方软件存储库）中删除了两个存在木马后门的Python库，，，这些库被发现从被习染这些库的开发人员的项目中窃取SSH和GPG密钥。�！！�


这两个库是由统一位开发人员Olgierd创建的，，，使用一种称为错录的技术来注册外观类似的名称。�！！５谝桓鲋踩肓四韭淼目饷莗ython3-dateutil，，，它仿照了盛行的python dateutil库，，，在名称前面假装是python3版本混入Pypi中。�！！５诙鍪恰癹eIlyfish”（第一个l写成I），，，它仿照“jellyfish ”库。�！！９倘籶ython3-dateutil是在前几天创建并上传到PyPI上的，，，但从2018年12月11日起，，，jeIlyfish库在11月29日可用了将近一年。�！！�


OG东方厅·(中国大陆)


凭据安全钻研人员所说，，，恶意代码仅存在于jeIlyfish库中。�！！�


OG东方厅·(中国大陆)


而python3-dateutil软件包不蕴含自己的恶意代码，，，但的确导入了jeIlyfish库，，，这意味着它通过挪用是能够触发恶意行为的。�！！�


jeIlyfish/_jellyfish.py中的恶意代码：：


OG东方厅·(中国大陆)


解码后：：


OG东方厅·(中国大陆)


打开短链接http://bitly.com/25VZxUbmkr，，，也就是


https://gitlab.com/olgired2017/aeg_wandoo_dag_m3/raw/master/hashsum，，，其中代码下载并读取了他存储在GitLab存储库中的哈希列表。�！！６笸ü寥∧切〩ash列表将其解码为Python文件并执行。�！！�


如下图所示，，，其试图从用户推算机中窃取SSH和GPG密钥，，，并将它们发送到以下IP地址：：http://68.183.212.246:32258。�！！�


OG东方厅·(中国大陆)


修复建议


这两个恶意克隆是由德国软件开发商Lukas Martini在12月1日星期日发现的。�！！Ｔ贛artini通知dateutil开发人员和PyPI安全团队之后的统一天，，，这两个库均被删除。�！！＝ㄒ槿粘Ｗ爸肞ython库的时辰把稳名称是否正确。�！！�


参考链接


https://github.com/dateutil/dateutil/issues/984