网络犯罪分子利用 StackOverflow 推广恶意 Python 软件包
内容提要
网络安全研究人员发现了一个名为pytoileur的恶意Python软件包，用于黑客盗取加密货币。恶意代码被嵌入到软件包的setup.py脚本中，能够执行Base64编码的有效载荷，从外部服务器检索Windows二进制文件。黑客还滥用StackOverflow平台，引导用户安装恶意软件包。
延伸解读
恶意包如何绕过初步审查
pytoileur 将恶意代码嵌入 setup.py 脚本，安装时即执行 Base64 编码的有效载荷，从外部服务器下载 Windows 二进制文件。这种手法利用 Python 包安装过程的自动执行特性，普通用户难以察觉。即使旧版本被删除，攻击者迅速上传功能相同的新版本，说明 PyPI 的删除机制无法阻止攻击者重新上传，开发者需对来源不明的包保持警惕。
StackOverflow 信任机制被利用
攻击者创建名为 EstAYA G 的 StackOverflow 账户，在问答中推荐 pytoileur 作为解决方案，诱导用户安装。StackOverflow 是新手开发者寻求帮助的主要平台，他们往往信任高赞或看似专业的回答。此事件表明，攻击者正滥用平台的信任机制，将恶意软件伪装成问题答案，开发者应交叉验证推荐内容，避免直接复制粘贴安装命令。
与历史攻击的关联与警示
Sonatype 发现 pytoileur 与 2023 年 11 月 Checkmarx 披露的 Pystob、Pywool 等虚假包活动有相似之处，显示开源供应链攻击持续存在。攻击者通过盗取加密货币和浏览器数据获利，并利用 Bladeroid 等信息窃取程序扩大影响。这提醒开发者，开源生态的开放性使其成为威胁行为者的目标，需加强依赖包审查和运行时监控。
Q&A
pytoileur恶意软件包的主要功能是什么？
pytoileur恶意软件包旨在盗取加密货币。
恶意代码是如何嵌入到pytoileur软件包中的？
恶意代码被嵌入到软件包的setup.py脚本中，能够执行Base64编码的有效载荷。
黑客是如何利用StackOverflow推广pytoileur软件包的？
黑客利用名为“EstAYA G”的StackOverflow账户引导用户安装恶意软件包，并将其作为问题解决方案。
安装pytoileur后会发生什么？
安装后，二进制文件会建立持久性并投放间谍软件和窃取恶意软件。
pytoileur软件包的下载次数是多少？
截至发稿前，pytoileur软件包已被下载316次。
StackOverflow平台的漏洞对开发者有什么影响？
StackOverflow的漏洞尤其令人担忧，可能会误导新手开发者安装恶意软件。
