Security Affairs 網站披露，Sonatype 研究人員發現了一個名為“secretslib”的新 PyPI 包，旨在將無文件加密礦工投放到 Linux 機器系統的內存中。

據悉，該軟件包將自身描述成“輕松匹配和驗證秘密”，自 2020 年 8 月 6 日以來，已經有了 93 次下載。

網絡安全專家發帖子表示，secretslib PyPI 包將自己描述為“使秘密匹配和驗證變得容易”。但經過仔細分析觀察，該軟件包在用戶 Linux 機器上暗中運行加密礦工（直接從用戶的 RAM 中），這種技術主要由無文件的惡意軟件和加密器采用。

該軟件包可以從遠程服務器獲取 Linux 可執行文件并執行，以將 ELF 文件（“memfd”）直接放入內存中，它是一個可能通過“memfd_create”系統調用創建的門羅幣加密礦工。

研究人員發現了其它惡意軟件包

研究人員發現，“像 memfd_create”這樣的 Linux 系統調用使程序員能夠在 RAM 中投放 “匿名 ”文件，而不是將文件寫入磁盤。這種情況跳過了將惡意文件輸出到硬盤的中間步驟，因此防病毒產品可能并不容易主動捕獲到還駐留在系統易失性內存中的無文件惡意軟件。

此外，由于“secretslib”包在運行時會立即刪除“tox”，并且“tox”注入的加密貨幣代碼駐留在系統的易失性內存（RAM）中，而不是硬盤驅動器中，因此惡意活動幾乎沒有留下任何痕跡，某種意義上講可以說是相當“隱形 ”。

“secretslib”背后的威脅攻擊者使用了為阿貢國家實驗室（ANL.gov）工作的工程師名字，該實驗室是位于伊利諾伊州的科學和工程研究實驗室，由 UChicago Argonne LLC 為美國能源部運營.

值得一提的是，幾天前，Check Point 研究人員在 Python 包索引 (PyPI) 上發現了另外十個惡意包，這些軟件包安裝了信息竊取程序，允許攻擊者竊取開發人員的私人數據和個人憑據。

參考文章：https://securityaffairs.co/wordpress/134381/security/pypi-package-fileless-linux-malware.html