241个npm和PyPI包被发现植入Linux挖矿木马

安全研究人员上周发现200多个恶意程序包渗透到PyPI和npm开源软件包中。这些包主要是被广泛使用的代码库的仿冒品，每个包都在运行Linux挖矿木马。

软件开发人员和研究员Hauke Lübbers分享了在PyPI上遇到的“至少33个项目”，这些项目都在感染系统后启动了开源门罗币加密货币XMRig。

研究人员正在向PyPI管理员报告这33个恶意项目时，他注意到攻击者开始发布另一组具有相同恶意负载的22个包。

植入的恶意代码通过Bit.ly短网址服务从威胁参与者的服务器下载Bash脚本。该脚本会将受感染主机的IP地址以及加密矿工的部署是否成功通知攻击者。

Sonatype安全研究团队今天披露了另外186个npm恶意包，它们通过相同的URL下载恶意Bash脚本。

npm包从同一个URL下载恶意代码（Sonatype）

上周，安全公司Checkmarx报告发现十几个恶意Python包对Counter-Strike服务器（位于俄罗斯的反恐精英游戏服务器）执行DDoS攻击。

本月早些时候，网络安全公司CheckPoint公开了10个恶意PyPI包，这些包被发现窃取了开发人员凭据。7月，ReversingLabs研究人员披露了一种名为IconBurst的供应链攻击针对软件开发者。

安全专家提醒软件开发人员，务必警惕开源软件代码库日益多见的软件供应链攻击。

参考链接：

https://www.bleepingcomputer.com/news/security/241-npm-and-pypi-packages-caught-dropping-linux-cryptominers/

[超站]友情链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
关注数据与安全，洞悉企业级服务市场：https://www.ijiandao.com/