Python

2024年3月26号，天问Python供应链威胁监测模块发现PyPI中短时间内出现了大量利用包名伪造的恶意包，这些恶意包采用和流行包（例如requests）极其相似的包名来诱导用户下载。这些恶意包会窃取用户隐私信息，并持久化驻留在受害主机中。此次事件中，攻击者所表现的自动化、专业化、组织化值得警惕。

2024年2月，天问Python供应链威胁监测模块发现了攻击者开始尝试利用第三方存储库，如GitHub，隐蔽发动攻击的恶意包。攻击者利用pip可以指定软件包下载地址的特性，将带有恶意代码的软件包放置到了云端。而PyPI仓库中的软件包不包含任何恶意攻击指令，这对恶意检测是一个巨大的挑战。

2024年2月伊始，天问Python供应链威胁监测模块发现攻击者开始利用Python包名和模块名不一致的特性，在Python包中添加常见的模块，如requests。新添加的模块会替换原有同名模块，导致用户使用时导入含有恶意代码的模块而被攻击。

最近，天问Python供应链威胁监测模块首次发现了使用反沙箱技术的恶意Python包，其集成多个窃取用户隐私信息的GitHub开源项目。它可以窃取用户浏览器中的密码，监控用户键盘输入，获取IP、位置、用户名等敏感信息。分析表明，攻击者开始组合现有武器库，尝试扩大单次攻击产生的效益，值得警惕。

2023年第三季度，天问Python供应链威胁监测模块共捕捉到320个恶意包。在对某一家族的恶意包分析中，我们发现攻击者会不断尝试更新迭代攻击方式来规避安全检测，其恶意代码逐渐趋同于正常代码。这使得恶意代码监测的难度不断提升，给供应链安全带来了巨大的挑战。

2023年第三季度，天问Python供应链威胁监测模块共捕捉到320个恶意包。其中包含大量类似W4SP Stealer的信息窃取恶意包，它们可以窃取受害者的个人信息，Discord密码，加密货币钱包等敏感信息。分析表明，攻击者会不断迭代更新他们的工具来规避安全检测，这给供应链安全带来了巨大的挑战。

2022年，天问Python供应链威胁监测模块共捕捉到22,076个恶意包，对于分析确认的恶意包我们第一时间反馈PyPI官方，通知维护者将这些包删除。根据恶意包的攻击行为，我们将其归为四类：信息窃取类，Discord webhook类，恶意脚本下载执行类和typosquatting类。