供应链投毒预警：恶意Py包伪装HTTP组件开展CStealer窃密后门攻击
内容提要
悬镜供应链安全情报中心在Pypi官方仓库中发现了一起CStealer窃密后门投毒事件。投毒者发布了6个不同版本的恶意Py包multiplerequests，目标是针对windows平台python开发者。该恶意包会在安装时远程加载CStealer后门，窃取受害者系统的敏感信息、浏览器隐私数据、数字货币钱包应用数据和系统屏幕截屏。该后门还会尝试在Windows系统启动目录实现开机自启动。恶意Py包已被下载435次，仍可从国内主流Pypi镜像源下载安装。开发者应注意排查是否安装或引用了该恶意组件包。
延伸解读
镜像源同步延迟带来的风险
恶意包multiplerequests仍可从清华大学、腾讯云等国内主流PyPI镜像源下载安装。镜像源通常定期同步官方仓库，但同步存在延迟，导致恶意包在被官方下架后仍可能通过镜像源获取。开发者应优先使用官方源或确认镜像源已同步最新状态，以降低安装风险。
安装即触发：供应链攻击的隐蔽性
该恶意包在安装时即通过setup.py执行base64编码的恶意代码，无需显式导入或运行。这意味着只要执行pip install multiplerequests，就会自动触发后门加载。开发者应避免随意安装未知来源的包，并在安装前检查包的信誉和版本历史。
后门功能与持久化机制
CStealer后门会收集系统信息、浏览器隐私数据、数字钱包应用数据，并进行屏幕截屏，还将自身拷贝到Windows启动目录实现开机自启动。这些行为表明攻击者旨在长期窃密。若发现系统异常，应彻底排查并清除后门，仅卸载恶意包可能不足以完全清除。
排查与响应建议
开发者可通过pip show multiplerequests检查是否安装，若已安装应立即使用pip uninstall multiplerequests -y卸载，并断开网络、排查异常进程。还可使用OpenSCA-cli扫描项目依赖，确认是否引用受影响版本（2.31.0至2.31.5）。及时响应可减少数据泄露风险。
Q&A
CStealer窃密后门是如何工作的？
CStealer后门通过恶意Py包在安装时远程加载，窃取系统敏感信息、浏览器隐私数据和数字钱包应用数据，并尝试实现开机自启动。
开发者如何检测是否安装了恶意Py包？
开发者可以使用命令pip show multiplerequests快速检查是否安装了该恶意包，若已安装可通过pip uninstall multiplerequests -y进行卸载。
恶意Py包multiplerequests的下载情况如何？
截至目前，恶意Py包multiplerequests在Pypi官方仓库被下载了435次，且仍可从国内主流Pypi镜像源下载安装。
CStealer后门会窃取哪些类型的数据？
CStealer后门会窃取系统敏感信息、浏览器隐私数据、数字货币钱包应用数据以及系统屏幕截屏。
恶意代码是如何执行的？
恶意代码通过base64编码分为两个阶段执行，第一阶段从投毒者服务器拉取第二阶段的恶意代码并执行。
如何防范此类供应链攻击？
开发者应定期检查和更新依赖包，使用安全工具监测开源组件，并关注安全预警信息以防范供应链攻击。
