Security Affairs 網(wǎng)站披露，Sonatype 研究人員發(fā)現(xiàn)了一個名為“secretslib”的新 PyPI 包，旨在將無文件加密礦工投放到 Linux 機器系統(tǒng)的內(nèi)存中。

據(jù)悉，該軟件包將自身描述成“輕松匹配和驗證秘密”，自 2020 年 8 月 6 日以來，已經(jīng)有了 93 次下載。

網(wǎng)絡安全專家發(fā)帖子表示，secretslib PyPI 包將自己描述為“使秘密匹配和驗證變得容易”。但經(jīng)過仔細分析觀察，該軟件包在用戶 Linux 機器上暗中運行加密礦工（直接從用戶的 RAM 中），這種技術主要由無文件的惡意軟件和加密器采用。

該軟件包可以從遠程服務器獲取 Linux 可執(zhí)行文件并執(zhí)行，以將 ELF 文件（“memfd”）直接放入內(nèi)存中，它是一個可能通過“memfd_create”系統(tǒng)調(diào)用創(chuàng)建的門羅幣加密礦工。

研究人員發(fā)現(xiàn)了其它惡意軟件包

研究人員發(fā)現(xiàn)，“像 memfd_create”這樣的 Linux 系統(tǒng)調(diào)用使程序員能夠在 RAM 中投放 “匿名 ”文件，而不是將文件寫入磁盤。這種情況跳過了將惡意文件輸出到硬盤的中間步驟，因此防病毒產(chǎn)品可能并不容易主動捕獲到還駐留在系統(tǒng)易失性內(nèi)存中的無文件惡意軟件。

此外，由于“secretslib”包在運行時會立即刪除“tox”，并且“tox”注入的加密貨幣代碼駐留在系統(tǒng)的易失性內(nèi)存（RAM）中，而不是硬盤驅(qū)動器中，因此惡意活動幾乎沒有留下任何痕跡，某種意義上講可以說是相當“隱形 ”。

“secretslib”背后的威脅攻擊者使用了為阿貢國家實驗室（ANL.gov）工作的工程師名字，該實驗室是位于伊利諾伊州的科學和工程研究實驗室，由 UChicago Argonne LLC 為美國能源部運營.

值得一提的是，幾天前，Check Point 研究人員在 Python 包索引 (PyPI) 上發(fā)現(xiàn)了另外十個惡意包，這些軟件包安裝了信息竊取程序，允許攻擊者竊取開發(fā)人員的私人數(shù)據(jù)和個人憑據(jù)。

參考文章：https://securityaffairs.co/wordpress/134381/security/pypi-package-fileless-linux-malware.html