央廣網(wǎng)北京6月20日消息（記者卜葉）開源生態(tài)“投毒”攻擊是指攻擊者利用軟件供應(yīng)商與最終用戶之間的信任關(guān)系，在合法軟件的開發(fā)、傳播和升級(jí)過程中進(jìn)行劫持或篡改，從而達(dá)到非法目的的攻擊類型。許多開源軟件存儲(chǔ)庫在設(shè)計(jì)時(shí)強(qiáng)調(diào)方便快捷，忽略惡意代碼檢測(cè)機(jī)制，導(dǎo)致開源生態(tài)“投毒”攻擊現(xiàn)象愈加嚴(yán)重。

近日，中國(guó)科學(xué)院軟件研究所基于開源軟件供應(yīng)鏈重大基礎(chǔ)設(shè)施，實(shí)現(xiàn)了面向全網(wǎng)針對(duì)開源生態(tài)“投毒”攻擊現(xiàn)象的持續(xù)監(jiān)測(cè)，在開源軟件存儲(chǔ)庫進(jìn)行惡意擴(kuò)展包檢測(cè)中，發(fā)現(xiàn)Python官方擴(kuò)展包倉庫被惡意上傳了8個(gè)惡意包及707個(gè)被“投毒”成功的開源項(xiàng)目。

對(duì)于Python惡意包的檢測(cè)，科研團(tuán)隊(duì)使用開源軟件供應(yīng)鏈重大基礎(chǔ)設(shè)施的惡意包分析工具進(jìn)行檢測(cè)，現(xiàn)已檢測(cè)出Python官方擴(kuò)展包倉庫上傳了8個(gè)惡意包，其中包含惡意代碼，存在巨大的安全隱患，包括竊取隱私信息、數(shù)字貨幣密鑰、種植持久化后門、遠(yuǎn)程控制等一系列攻擊活動(dòng)。研究團(tuán)隊(duì)將在Python平臺(tái)發(fā)現(xiàn)的8個(gè)惡意包上報(bào)給PyPI官方，并收到PyPI官方感謝信。

對(duì)于第三方插入的代碼執(zhí)行后門的擴(kuò)展包的檢測(cè)，研究通過開源軟件供應(yīng)鏈重大基礎(chǔ)設(shè)施的供應(yīng)鏈分析模塊進(jìn)行檢測(cè)。檢測(cè)發(fā)現(xiàn)707個(gè)被“投毒”成功的開源項(xiàng)目，其中85個(gè)發(fā)布在Python官方擴(kuò)展包倉庫，622個(gè)發(fā)布在Github、GitLab等公共代碼托管平臺(tái)。同時(shí)，該團(tuán)隊(duì)正將707個(gè)被“投毒”成功的開源項(xiàng)目反饋給國(guó)家信息安全漏洞共享平臺(tái)與國(guó)家信息安全漏洞庫等安全漏洞管理機(jī)構(gòu)，其中17漏洞現(xiàn)已獲得正式編號(hào)。