python 来源软件应急处理_[原创]PyPI 官方仓库遭request恶意包投毒,腾讯安全提供全面解决方案...

一、概述

8月5日,腾讯洋葱反入侵系统检测发布风险通告,发现PyPI官方仓库被恶意上传了request 钓鱼包,攻击者通过钓鱼包实施窃取用户敏感信息及数字货币密钥、种植持久化后门、远程控制等一系列攻击活动。腾讯安全威胁情报中心回溯本次软件供应链攻击事件,发现已有部分用户中招。

当用户在安装requests包时,容易将名字打错为 request,结果会使用pip安装成request恶意包。由于requests库非常流行,下载量大,已有部分用户因错误输入包名而被感染。

由于国内开源镜像站均同步于PyPI官方仓库,所以该问题不仅会通过官方仓库,还可能通过各个开源镜像站影响更大范围。腾讯安全应急响应中心(TSRC)建议各开源镜像站以及对开源镜像站有依赖的公司尽快自查处理,确保清除恶意库,保障用户系统安全。

腾讯安全威胁情报中心已针对本次软件供应链攻击展开应急响应,腾讯安全系列产品均已上线对request恶意包的检测和拦截,具体响应清单如下:

二、事件分析

你可能感兴趣的:(python,来源软件应急处理)