The Python Package Index Blog
·
PyPI与沙丘：在新兴威胁中保持安全
💡
原文英文，约300词，阅读约需1分钟。
📝
内容提要
近期，npm生态系统遭到攻击，黑客利用被盗账户发布恶意包。虽然PyPI未直接受攻击，但发现一些PyPI凭证在被攻陷的仓库中泄露。我们已撤销这些凭证，并建议用户采取安全措施，特别是在使用构建平台发布包时。
🎯
关键要点
-
npm生态系统遭到攻击，黑客利用被盗账户发布恶意包。
-
此次攻击被称为Shai-Hulud，主要针对JavaScript生态系统中的大量包。
-
PyPI未直接受到攻击，但发现一些PyPI凭证在被攻陷的仓库中泄露。
-
已撤销泄露的凭证，并建议用户采取安全措施，特别是在使用构建平台发布包时。
-
安全研究人员披露了在Shai-Hulud活动中暴露的长期有效的PyPI凭证。
-
攻击者可以从同一仓库提取多个平台的凭证，尤其是使用monorepo设置的项目。
-
建议用户采取安全措施以保护PyPI账户，降低被攻击的风险。
❓
延伸问答
Shai-Hulud攻击主要针对哪个生态系统？
Shai-Hulud攻击主要针对JavaScript生态系统中的npm。
PyPI凭证是如何泄露的？
一些PyPI凭证在被攻陷的GitHub仓库中泄露，攻击者可以从中提取多个平台的凭证。
用户应该如何保护他们的PyPI账户？
用户应采取安全措施，如定期更换凭证和使用安全的构建平台发布包。
此次攻击是否对PyPI造成了直接影响？
PyPI未直接受到攻击，但发现了一些凭证泄露的情况。
Shai-Hulud攻击的主要手段是什么？
攻击者利用被盗账户发布恶意包，并提取其他平台的凭证。
如何识别被泄露的PyPI凭证？
安全研究人员披露了在Shai-Hulud活动中暴露的长期有效的PyPI凭证。
➡️
