央廣網(wǎng)北京6月20日消息（記者卜葉）開源生態(tài)“投毒”攻擊是指攻擊者利用軟件供應(yīng)商與最終用戶之間的信任關(guān)系，在合法軟件的開發(fā)、傳播和升級過程中進(jìn)行劫持或篡改，從而達(dá)到非法目的的攻擊類型。許多開源軟件存儲庫在設(shè)計(jì)時(shí)強(qiáng)調(diào)方便快捷，忽略惡意代碼檢測機(jī)制，導(dǎo)致開源生態(tài)“投毒”攻擊現(xiàn)象愈加嚴(yán)重。
近日，中國科學(xué)院軟件研究所基于開源軟件供應(yīng)鏈重大基礎(chǔ)設(shè)施，實(shí)現(xiàn)了面向全網(wǎng)針對開源生態(tài)“投毒”攻擊現(xiàn)象的持續(xù)監(jiān)測，在開源軟件存儲庫進(jìn)行惡意擴(kuò)展包檢測中，發(fā)現(xiàn)Python官方擴(kuò)展包倉庫被惡意上傳了8個(gè)惡意包及707個(gè)被“投毒”成功的開源項(xiàng)目。
對于Python惡意包的檢測，科研團(tuán)隊(duì)使用開源軟件供應(yīng)鏈重大基礎(chǔ)設(shè)施的惡意包分析工具進(jìn)行檢測，現(xiàn)已檢測出Python官方擴(kuò)展包倉庫上傳了8個(gè)惡意包，其中包含惡意代碼，存在巨大的安全隱患，包括竊取隱私信息、數(shù)字貨幣密鑰、種植持久化后門、遠(yuǎn)程控制等一系列攻擊活動。研究團(tuán)隊(duì)將在Python平臺發(fā)現(xiàn)的8個(gè)惡意包上報(bào)給PyPI官方，并收到PyPI官方感謝信。
對于第三方插入的代碼執(zhí)行后門的擴(kuò)展包的檢測，研究通過開源軟件供應(yīng)鏈重大基礎(chǔ)設(shè)施的供應(yīng)鏈分析模塊進(jìn)行檢測。檢測發(fā)現(xiàn)707個(gè)被“投毒”成功的開源項(xiàng)目，其中85個(gè)發(fā)布在Python官方擴(kuò)展包倉庫，622個(gè)發(fā)布在Github、GitLab等公共代碼托管平臺。同時(shí)，該團(tuán)隊(duì)正將707個(gè)被“投毒”成功的開源項(xiàng)目反饋給國家信息安全漏洞共享平臺與國家信息安全漏洞庫等安全漏洞管理機(jī)構(gòu)，其中17漏洞現(xiàn)已獲得正式編號。
