Security Affairs 網(wǎng)站披露，Sonatype 研究人員發(fā)現(xiàn)了一個(gè)名為“secretslib”的新 PyPI 包，旨在將無(wú)文件加密礦工投放到 Linux 機(jī)器系統(tǒng)的內(nèi)存中。

據(jù)悉，該軟件包將自身描述成“輕松匹配和驗(yàn)證秘密”，自 2020 年 8 月 6 日以來(lái)，已經(jīng)有了 93 次下載。

網(wǎng)絡(luò)安全專家發(fā)帖子表示，secretslib PyPI 包將自己描述為“使秘密匹配和驗(yàn)證變得容易”。但經(jīng)過(guò)仔細(xì)分析觀察，該軟件包在用戶 Linux 機(jī)器上暗中運(yùn)行加密礦工（直接從用戶的 RAM 中），這種技術(shù)主要由無(wú)文件的惡意軟件和加密器采用。

該軟件包可以從遠(yuǎn)程服務(wù)器獲取 Linux 可執(zhí)行文件并執(zhí)行，以將 ELF 文件（“memfd”）直接放入內(nèi)存中，它是一個(gè)可能通過(guò)“memfd_create”系統(tǒng)調(diào)用創(chuàng)建的門羅幣加密礦工。

研究人員發(fā)現(xiàn)了其它惡意軟件包

研究人員發(fā)現(xiàn)，“像 memfd_create”這樣的 Linux 系統(tǒng)調(diào)用使程序員能夠在 RAM 中投放 “匿名 ”文件，而不是將文件寫入磁盤。這種情況跳過(guò)了將惡意文件輸出到硬盤的中間步驟，因此防病毒產(chǎn)品可能并不容易主動(dòng)捕獲到還駐留在系統(tǒng)易失性內(nèi)存中的無(wú)文件惡意軟件。

此外，由于“secretslib”包在運(yùn)行時(shí)會(huì)立即刪除“tox”，并且“tox”注入的加密貨幣代碼駐留在系統(tǒng)的易失性內(nèi)存（RAM）中，而不是硬盤驅(qū)動(dòng)器中，因此惡意活動(dòng)幾乎沒(méi)有留下任何痕跡，某種意義上講可以說(shuō)是相當(dāng)“隱形 ”。

“secretslib”背后的威脅攻擊者使用了為阿貢國(guó)家實(shí)驗(yàn)室（ANL.gov）工作的工程師名字，該實(shí)驗(yàn)室是位于伊利諾伊州的科學(xué)和工程研究實(shí)驗(yàn)室，由 UChicago Argonne LLC 為美國(guó)能源部運(yùn)營(yíng).

值得一提的是，幾天前，Check Point 研究人員在 Python 包索引 (PyPI) 上發(fā)現(xiàn)了另外十個(gè)惡意包，這些軟件包安裝了信息竊取程序，允許攻擊者竊取開(kāi)發(fā)人員的私人數(shù)據(jù)和個(gè)人憑據(jù)。

參考文章：https://securityaffairs.co/wordpress/134381/security/pypi-package-fileless-linux-malware.html