solidot新版网站常见问题,请点击这里查看。

PyPI 发现活跃半年以上的供应链攻击

安全
WinterIsComing (31822)发表于 2022年09月02日 18时54分 星期五

来自失忆的星球
安全公司 SentinelOne 和 Checkmarx 的研究人员报告,Python 软件包仓库 PyPI 成为一起复杂供应链攻击的目标,至少两个合法软件包被成功植入了窃取凭证的恶意程序。攻击者向 Python 开发者发动钓鱼攻击,诱骗他们泄露登陆凭证,然后利用窃取的凭证推送软件包最新更新,其中植入了窃取凭证的恶意程序 JuiceStealer。JuiceStealer 使用 .NET 框架开发,它会搜索 Google Chrome 储存的密码,其活动始于 2021 年下半年。它一开始利用用户拼写错误的方法传播,之后开始利用供应链攻击扩散。PyPI 项目已经开始强制要求软件包维护者启用 2FA。