恶意代码分析

【天问】TEA： NPM生态再度陷入垃圾软件包困境

技术报告,
在刚刚结束的2024第二个季度中，npm生态仍然是开源生态软件供应链攻击发生的重灾区。除了各类复杂的恶意攻击之外，我们还监测到了一起对整个生态产生的影响的垃圾包投放事件。此次所发布的垃圾软件包数量庞大，对npm生态日常运行带来了的额外的负担，并增加了潜在风险发生的可能性。
阅读更多

【天问】PyPI 大规模伪造包名攻击

技术报告,
2024年3月26号，天问Python供应链威胁监测模块发现PyPI中短时间内出现了大量利用包名伪造的恶意包，这些恶意包采用和流行包（例如requests）极其相似的包名来诱导用户下载。这些恶意包会窃取用户隐私信息，并持久化驻留在受害主机中。此次事件中，攻击者所表现的自动化、专业化、组织化值得警惕。
阅读更多

【天问】PyPI 云端”潜伏者”

技术报告,
2024年2月，天问Python供应链威胁监测模块发现了攻击者开始尝试利用第三方存储库，如GitHub，隐蔽发动攻击的恶意包。攻击者利用pip可以指定软件包下载地址的特性，将带有恶意代码的软件包放置到了云端。而PyPI仓库中的软件包不包含任何恶意攻击指令，这对恶意检测是一个巨大的挑战。
阅读更多

【天问】PyPI 反沙箱恶意下载器分析

技术报告,
最近，天问Python供应链威胁监测模块首次发现了使用反沙箱技术的恶意Python包，其集成多个窃取用户隐私信息的GitHub开源项目。它可以窃取用户浏览器中的密码，监控用户键盘输入，获取IP、位置、用户名等敏感信息。分析表明，攻击者开始组合现有武器库，尝试扩大单次攻击产生的效益，值得警惕。
阅读更多

【天问】PyPI 2023年Q3恶意包回顾（一）

技术报告,
2023年第三季度，天问Python供应链威胁监测模块共捕捉到320个恶意包。其中包含大量类似W4SP Stealer的信息窃取恶意包，它们可以窃取受害者的个人信息，Discord密码，加密货币钱包等敏感信息。分析表明，攻击者会不断迭代更新他们的工具来规避安全检测，这给供应链安全带来了巨大的挑战。
阅读更多

【天问】npm生态针对angular和react进行的大规模typosquat攻击

技术报告,
2023年9月26日，奇安信技术研究院"天问"软件供应链安全监测平台注意到npm生态中发生大规模软件供应链投毒行为。攻击者在9月23日至26日期间，累积上传了821个恶意npm包，其主要行为是窃取用户机器的username、hostname和ip信息。并且这些恶意包的名称与angular和react这两个在npm生态中流行的软件包名称极其相似。
阅读更多