【安全通知】PyPI 官方仓库遭遇request恶意包投毒

作者：

腾讯洋葱反入侵系统

七夜、vspiders、conan

近日，腾讯洋葱反入侵系统检测发现 PyPI官方仓库被恶意上传了request 钓鱼包，由于国内开源镜像站均同步于PyPI官方仓库，所以该问题不仅会通过官方仓库，还可能通过各个开源镜像站影响广大用户，腾讯安全应急响应中心（TSRC）秉承共建安全生态的原则，TSRC在此建议各开源镜像站以及对开源镜像站有依赖的公司，请尽快自查处理，确保恶意库得到清除，保障用户安全。

事件描述 

7月31号 攻击者在PyPI官方仓库上传了request 恶意包，该恶意包通过伪造著名python 库 requests 包名来进行钓鱼， 攻击者可对受感染的主机进行入侵，并实施窃取用户敏感信息及数字货币密钥、种植持久化后门、命令控制等一系列活动。

恶意包感染过程如下：

1.用户安装

根据用户习惯，在安装requests包，容易将名字打错为 request，结果是使用pip安装成恶意包。 pip install requests -->  pip install request 由于reques