恶意Python库被发现会窃取SSH和GPG密钥

点击上方 "程序员小乐"关注, 星标或置顶一起成长

每天凌晨00点00分, 第一时间与你相约

每日英文

The worst way to miss someone is to be sitting right beside them knowing you can't have them.

失去某人最糟糕的莫过于，他近在身旁，却犹如远在天边。

每日掏心话

世上只有一种英雄主义，就是认清生活，依然爱着生活；现在过的每一天，都是余生你最年轻的一天，请珍惜！

来自： 安全圈 | 责编：乐乐

链接：t.cn/AieSrSQp

程序员小乐(ID:study_tech)第 709 次推文   图片来自网络

往日回顾：所有程序员必知：2019年最流行的8种编程语言和框架！

   正文   

Python 安全团队从 PyPI (Python Package Index) 移除了两个被发现会窃取 SSH 和 GPG 密钥的恶意 Python 库。两个库都由同一名开发者创建，利用名字相似的方法去模仿已知的流行库的：python3-dateutil 试图模仿流行的 dateutil 库，jeIlyfish 模仿 jellyfish 库。

德国开发者 Lukas Martini 上周日发现了这两个恶意库，在通知安全团队之后它们被立即移除。

Martini 称，恶意代码只存在于 jeIlyfish 中，python3-dateutil 本身不包含恶意代码，但它会导入 jeIlyfish 库。

dateutil 开发团队成员 Paul Ganssle 分析后认为，恶意代码是尝试从用户计算机上窃取 SSH 和 GPG 密钥，然后发送到一个 IP 地址。

文章来源：solidot

欢迎在留言区留下你的观点，一起讨论提高。如果今天的文章让你有新的启发，学习能力的提升上有新的认识，欢迎转发分享给更多人。

欢迎各位读者加入程序员小乐技术群，在公众号后台回复“加群”或者“学习”即可。

猜你还想看

阿里、腾讯、百度、华为、京东最新面试题汇集

Java 对象不再使用时，为什么要赋值为 Null ？

Java finally语句到底是在return之前还是之后执行？

Java 中的 SPI 机制是到底是什么？高级 Java 必须掌握！

关注「程序员小乐」，收看更多精彩内容

嘿，你在看吗？