已发觉代管在Python软件包索引(PyPI)代码库中的三个恶意软件包，他们共计被下载12,000次——而且很有可能被悄悄安裝在各种各样程序中。
单独研究者麦金尼斯·斯金斯(Andrew Scott)在对PyPI中包括的编码开展几近整站范畴的剖析时看到了这种包，PyPI是用Python计算机语言建立的手机软件编码储存库。与GitHub、npm和RubyGems一样，PyPI容许编号工作人员提交软件包，供开发者用以搭建各种各样应用软件、服务项目和别的新项目。
遗憾的是，一个故意包可以被组装到好几个不一样的项目中——用数据加密挖矿、信息内容窃程序流程等感柒他们，并使修补变成一个错综复杂的全过程。
在本例中，Scott发觉了一个包括已经知道木马病毒恶意软件和2个信息内容盗取程序流程的恶意软件包。
他说道，这一木马病毒抱被称之为“aws-login0tool”，一旦安裝该软件包，它便会获得一个有效载荷可执行程序，結果证实它是一个已经知道的木马病毒。
Scott在周日的一篇贴子中表述说：“我发现这一包是由于它在我搜看setup.py时的好几个文字检索中被标识，由于这也是Python库中恶意程序最多见的地方之一，在安装使用时可以在那里实行任何编码。”“从总体上，我是根据搜索import urllib.request发觉这一点的，因为它通常用以盗取数据信息或下载故意文档，它也是由from subprocess import Popen开启的，这有点儿异常，由于大部分包不用实行随意命令编码。”
Scott还根据查询import urllib.request字符串数组明确了此外2个恶意软件包，这两个包全是为数据信息漏水而搭建的。
这两个名叫“dpp-client”和“dpp-client1234I”的文档是由同一个客户在二月份提交的。在组装流程中，她们搜集相关自然环境和文件列表的详细资料，而且好像“专业找寻与Apache Mesos有关的文档”，Scott说，这是一个管理方法电子计算机群集的开源软件。据科研工作人员称，一旦搜集到信息内容，便会将其发送至一个不明的web服务。
Python安全性精英团队在12月10日接到通告后删除了已鉴别的包，但因为这种新项目在删掉以前就被导进了，全部三个包都再次存有。
Scott表明，该恶意代码包于12月1日初次加上到PyPI中，接着被下载了近600次。对于数据信息盗取者，dpp-client包下载量超出10000次，在其中上一个月下载量600 ;dpp-client1234已被下载约1,500次。而且这两个软件包的源码URL都效仿了目前的时兴库，“因此所有人在PyPI中访问软件包或剖析库的时髦水平时，都是会见到很多的GitHub星辰和支系，这意味着了较好的信誉。”
手机软件供应链管理已变为一种愈来愈时兴的恶意软件派发方式。例如，上星期在Node.js软件包管理工具(npm)代码库中看到了一系列致力于搜集Discord动态口令的故意包。这种软件包可以用于接手没什么疑心的使用者的账号和网络服务器。
文中翻譯自：https://threatpost.com/malicious-pypi-code-packages/176971/倘若转截，请标明全文详细地址。