PyPI 软件仓库发现三个后门库

一家安全公司发现了三个上传到官方Python包索引(PyPI)上的恶意Python库，其中包含一个隐藏的后门，当这些库安装在Linux系统上时，这个后门就会被激活。

这三个包分别名为libpeshnx、libpesh和libari，由同一名用户(名为ruri12)编写，从2017年11月起就可以从PyPI下载了近20个月，直到本月早些时候，reverse labs的安全研究人员发现了这些包。

PyPI团队在7月9日删除了这些包，同一天reverse labs将他们的发现通知了PyPI repo维护者。

这三个包都没有列出描述，所以不可能知道它们的目的是什么。然而，PyPI stats显示，这些软件包正在定期下载，每个软件包每月安装数十次。

reverse实验室表示，后门是一个交互式shell，攻击者可以使用它在安装了这三个库的计算机上连接和运行命令。

ReversingLabs时发现了三个库,在libpeshnx图书馆后门才活跃,但是其他两个包(libpesh和libari)包含“恶意引用函数没有任何代码”,表明作者已删除它,或正准备推出后门版本的其他两个库。

Pericin的团队在扫描完整个PyPi存储库后，发现了隐藏在Python库中的可疑文件格式，例如PE和EXE文件格式。 该公司表示，它总共扫描了超过一百万个PyPI软件包。 有关此扫描过程的更多详细信息，请参阅该公司的博客文章。

去年，一位名叫Bertus的安全研究人员发现了12个恶意的Python库，它们也可以通过在主机上打开shell以下载和运行库来以类似的格式工作。