• 2025-10-22 19:51:15

恶意 Python 包分发信息窃取器

关键要点

近期有报道指出，恶意信息窃取器通过六个被破坏的 Python 包索引 分发。这些包具体包括 discorddev、discorder、easytimestamp、pyrologin、pythonstyles 和 pyrologin。目前，这些恶意包已经被移除，详情见 The Hacker News 的相关报道。

Phylum 的报告显示，攻击者已经巧妙地将恶意代码隐藏在这些库的安装脚本中，允许恶意软件在用户执行 pip install 命令后自动部署。安全研究人员指出，恶意软件会使用 PowerShell 脚本进行 ZIP 文件的检索、安装入侵性的依赖包，并执行 Visual Basic 脚本。

除了针对不同的网页浏览器进行 cookie 捕获外，这些恶意包还会窃取加密货币钱包数据和保存的密码。此外，它们还能够安装 Cloudflare Tunnel 的命令行工具 cloudflared，从而为分发 xrat 木马也称为 poweRAT铺平道路。Phylum 表示：“这个东西就像是加强版的 RAT。它内置了所有基本的 RAT 功能，并配有一个简单的网络 GUI 和基础的远程桌面功能，真是个快速窃取者！”

我们强烈建议用户对使用的 Python 包保持警惕，确保只从可信来源安装软件，以免受到潜在威胁。