PyPi 包使用 Sliver 笔测试套件在 Mac 上安装后门

微信搜索关注网络研究观公众号

一个新包模仿了 Python 包索引 (PyPI) 上流行的“请求”库，以带有 Sliver C2 对抗框架的 macOS 设备为目标，用于获得对企业网络的初始访问权限。

Phylum发现 ，该活动涉及多个步骤和混淆层，包括在 PNG 图像文件中使用隐写术在目标上秘密安装 Sliver 有效负载。

截至撰写本文时，恶意 PyPI 软件包已被删除，但它的发现是 Sliver 越来越多地采用远程访问企业网络的另一个迹象。

Sliver 是一款跨平台（Windows、macOS、Linux） 开源 对抗框架测试套件，专为“红队”操作而设计，在测试网络防御时模拟对手的行为。

其主要功能包括自定义植入生成、命令和控制 (C2) 功能、后利用工具/脚本以及丰富的攻击模拟选项。

因此，黑客于 2022 年开始使用 Sliver ，主要作为商业渗透测试框架 Cobalt Strike 的替代品，经过多年的滥用，Cobalt Strike 已变得更容易检测和阻止。

同年晚些时候，SentinelOne 的研究人员发现 Sliver 针对 macOS 设备 ，他们发现该植入程序部署在一个看似虚假的 VPN 应用程序中。

2023 年，当 Sliver 在BYOVD 攻击和勒索软件操作中被发现时，网络犯罪分子的采用率继续稳步上升 。

CISA 和 FBI 从 2024 年 2 月起发布的网络安全咨询再次强调，Sliver 作为黑客在利用 Ivanti Connect Secure 和 Policy Secure Gateways 后破坏网络的常见植入程序之一，其地位不断上升。

使用 Sliver 瞄准 macOS

在 Phylum 发现的最新攻击中，攻击始于一个名为“requests-darwin-lite”的 macOS 恶意 Python 包，它是流行的“requests”库的良性分支。

该包托管在 PyPI 上，在带有 Requests 徽标的 17MB PNG 图像文件中包含 Sliver 的二进制文件。

在 macOS 系统上安装期间，会执行 PyInstall 类来解码 Base64 编码的字符串，以运行检索系统的 UUID（通用唯一标识符）的命令 (ioreg)。

恶意setup.py文件

UUID 用于验证包是否安装在实际目标上，并将其与预定义的 UUID 进行比较。

当存在匹配时，会从文件偏移处的特定部分读取并提取 PNG 文件内的 Go 二进制文件。

Sliver 二进制文件被写入本地文件并修改文件权限以使其可执行，并最终在后台启动。

在 Phylum 向 PyPI 团队报告 requests-darwin-lite 后，该软件包已被删除。

恶意版本为2.27.1和2.27.2，而后续的2.28.0和2.28.1则缺少恶意修改和安装hook。

Phylum 推测这是一次针对性很强的攻击，特别是在考虑 UUID 检查时，因此威胁行为者可能会将包恢复到良性状态，以避免引起不必要的关注。

上个月，研究人员报告了一项名为 SteganoAmor 的恶意活动 ，该活动使用隐写术隐藏图像内的恶意代码，将各种恶意软件工具传送到目标系统上。 

该活动范围广泛，针对各个部门和国家发起了 320 多次攻击。