0xNews - Pypi 저장소에서 악성 파이선 라이브러리 발견

JFrog 발표

3만회 이상 다운로드된 최대 8개 파이선 패키지가 악성 코드가 포함된 이유로 Pypi 포털에서 제외 처리

공개 소프트웨어 저장소의 조정과 자동화된 보안 제어 기능이 없기 때문에 경험이 부족한 공격자도 이를 플랫폼으로 사용

악성코드를 통해 강제 오탈자 처리 typosquatting, 종속성 혼란, 단순한 사회공학 공격 가능성 확인

Pypi Python Package Index 는 파이선용 공식 타사 소프트웨어 저장소로 pip 와 같은 패키지 관리자 유틸리티

패키지나 해당 종속성에 대한 기본 소스에 의존함

Base64 인코딩을 사용하여 난독화된 것으로 확인된 문제의 파이선 패키지 리스트

pytagora - leonora123 에서 업로드

pytagora2 - leonora123 에서 업로드

noblesse - xin1111 에서 업로드

genesisbot - xin1111 에서 업로드

are - xin1111 에서 업로드

suffer - suffer 에서 업로드

noblesse2 - suffer 에서 업로드

noblessev2 - suffer 에서 업로드

위 패키지를 통해 악용하여 보다 높은 수준의 공격의 진입점으로도 활용할 수 있음

공격 가상 시나리오로

대상 시스템에서 원격 코드를 실행

해당 시스템 정보 탈취

피해자를 가장하기 위한 Discord 인증 토큰 등 정보 축적을 통해 구글 크롬이나 MS 엣지 브라우저 등에 자동 저장된 신용 카드 정보나 계정 정보 등 탈취

Pypi 은 공격자의 공급망 공격 supply chain 의 수 많은 예시 중 하나

npm 저장소의 악성 코드 패키지 업데이트 사건

rubygems 저장소의 악성 코드 패키지 업데이트 사건 등 계속 관련 사건 발생

T-Rex, ubqminer, PhoenixMiner 과 같은 암호화폐 채굴기를 검색하여 피해자의 ethereum, ubiq 등을 채굴하는 페이로드 쉘 스크립트를 다운로드하고 실행하는 typosquatted 패키지 정보 공개

sonatype 관련 정보 발표

Pypi 와 같은 인기 있는 저장소에서 악성 소프트웨어 패키지가 계속 발견되는 것은 광범위한 공급망 공격으로 이어질 수 있음

공격자는 맬웨어를 도입하기 위해 간단한 난독화 기술을 사용할 수 잇다는 것은 개발자가 우려하고 경계해야 함을 의미

이는 시스템적 위협이며 소프트웨어 저장소의 유지 관리자와 개발자 모두 여러 계층에서 적극적으로 해결해야 함

개발자측에서는 라이브러리 서명 확인과 같은 예방 조치와 프로젝트에 포함된 의심스러운 코드의 힌트를 검색하는 자동화된 애플리케이션 보안 도구 사용이 모든 CI/CD 파이프라인의 필수적인 부분이 되어야 함

이를 통해 악성 코드 패러다임이 사용될 때 경고를 통해 대응할 수 있어야 함

openLab