只是pip安裝輸錯字母，你就可能中了挖礦病毒
7款挖礦軟件偽裝成matplotlib
曉查 發自 凹非寺?
量子位 報道 | 公眾號 QbitAI
用PyPI包管理工具安裝python軟件很方便，但你今后要三思而后行了。
當輸入這樣一句命令后：
pip install openvc你也許并未發現異常，仔細一看可能才會察覺自己剛剛手抖，把opencv輸錯了。
但此時安裝命令已經開始運行了，因為openvc其實也是一個真實存在的軟件包，不過卻是個惡意軟件包。
最近，安全公司Sonatype發現，很多惡意軟件都偽裝成常見的PyPI包，往往只差幾個字母。
隨著加密貨幣的火爆，黑客們開始把挖礦軟件植入其中。如果用戶手打pip安裝命令手滑一下，自己的電腦就可能變成“礦機”。
PyPI里的挖礦軟件
常用的繪圖工具包matplotlib首當其沖。PyPI今年有多個與之類似的惡意軟件包，如mplatlib、maratlib（記住這個軟件包名稱）等等。
這類“李鬼”共有7種之多，都是一個叫做nedog123的用戶上傳到PyPI。其中像maratlib還是今年4月份發布的。
這一組惡意軟件以“maratlib”為核心，其他軟件都是把它作為依賴項，比如“learninglib”就是這種情況：
這代碼還算是比較“直白”的，有些惡意軟件將依賴項稍微隱藏了一下，比如“mplatlib”：
它把依賴項偽裝成“LKEK”，從第47行代碼可以看出LKEK就是maratlib。
接著Sonatype的安全工程師又對maratlib 1.0安裝包進行了分析，發現它已經偽裝得很深了，使用一般工具已經很難分析這些代碼里到底藏了什么。
他只好把版本倒回0.6，這個版本的maratlib沒有對代碼做偽裝，它會從GitHub下載和運行Bash腳本代碼：
但服務bash腳本的網址拋出404錯誤，說明這個地址已經被GitHub刪除,或者被黑客nedog123廢棄不用。
經過更深的挖掘，這名安全工程師發現，黑客將代碼遷移到了“Marat Nedogimov”和“maratoff”用戶名下。
這個aza2.sh腳本會下載一個名為“Ubqminer”的挖礦軟件，而上圖中那一長串字符就是黑客的數字錢包地址。
至此，案件已經告破。好消息是，PyPI已經刪除了這些惡意軟件包。
但是，據Sonatype公司統計，這7個李鬼軟件已經總共被下載超過5000次。
惡意PyPI包防不勝防
這次發現的maratlib，可能只是PyPI惡意軟件包的冰山一角。PyPI包管理工具的問題一直為用戶所詬病。
今年2月，有人將CUDA加速包CuPy換成了惡意軟件。還有一位白帽黑客發現，只要向公共庫上傳PyPI軟件包，就能輕易替換掉私有化的同名軟件包，大大增加了科技公司中毒風險。
△?每月PyPI惡意軟件包數量
早在2016年，就有人用相似名稱的方法發布PyPI惡意軟件包，騙過了1.7萬名程序員，導致這個惡意程序被運行了4.5萬次，甚至連美國軍方都中招了。
使用pip請謹慎
那么，我們如何預防被安裝惡意的PyPI軟件包？
你以為只要認真檢查安裝命令就行了？No！
由于PyPI絕大部分軟件包都是第三方編寫和維護的，這體現了開源的優勢，但也埋下了審核不嚴的危險種子。
如今，很多軟件都需要安裝依賴項，個人不可能一一檢查，甚至大公司也做不到。有時候一個軟件里寫了上百個依賴項，根本沒法審查代碼。
最好的辦法就是監控setup.py的行為，在安裝不太放心的軟件包時，可以在容器中通過pip安裝包，同時收集系統調用和網絡流量，來分析其是否有惡意行為。
最后再提醒一下大家，不僅pip命令有風險，使用npm、gem等軟件包安裝命令也可能中毒，一定要對來源不明的軟件包仔細核查。
參考鏈接：
[1]https://blog.sonatype.com/sonatype-catches-new-pypi-cryptomining-malware-via-automated-detection
[2]https://arstechnica.com/gadgets/2021/06/counterfeit-pypi-packages-with-5000-downloads-installed-cryptominers/
[3]https://www.freebuf.com/articles/web/254820.html
[4]https://github.com/rsc-dev/pypi_malware
- 腦機接口走向現實，11張PPT看懂中國腦機接口產業現狀｜量子位智庫2021-08-10
- 張朝陽開課手推E=mc2，李永樂現場狂做筆記2022-03-11
- 阿里數學競賽可以報名了！獎金增加到400萬元，題目面向大眾公開征集2022-03-14
- 英偉達遭黑客最后通牒：今天必須開源GPU驅動，否則公布1TB機密數據2022-03-05
