PyPI攻击直击供应链安全命门，如何筑牢供应链安全防线？

2025年的PyPI供应链攻击事件再次提醒我们，开源生态不仅是创新的助推器，也可能成为攻击者的潜在入口。20余个恶意Python包，总下载量超过1.4万次，每一个都有可能成为窃取AWS、阿里云和腾讯云服务凭证的途径。这意味着，攻击者正将传统的软件供应链攻击与云身份威胁结合，形成新的风险模式。

从2020年代初至2025年，PyPI一直是攻击者实验和利用的“沃土”，演变趋势清晰可见：

攻击趋势

攻击策略

利用开发者信任

通过拼写类似或组合欺骗来诱导开发者安装恶意包。

针对云环境

嵌入凭证收集功能，从环境变量或配置文件中获取访问令牌，实现横向扩散和潜在权限滥用。

依赖链传播

通过依赖关系将恶意功能传播到下游项目，使攻击在不被察觉的情况下扩散。

攻击通常包括几个阶段：

伪装与投放

恶意包被打造成可信的云SDK或时间工具，上传到PyPI。

隐藏执行

通过安装脚本激活编码后的载荷，悄悄读取开发环境中的凭证信息。

传染式扩散

其他项目如果依赖这些包，就会无声地被感染，形成隐形传染链。

数据外泄

收集到的凭证通过网络发送到攻击者服务器，可能通过加密或小流量传输方式隐藏。

与传统本地主机攻击不同，PyPI供应链攻击事件突出显示云环境的脆弱性：

被盗凭证可用于横向移动和访问云资源，而无需在本地安装复杂恶意软件。

小规模外传和隐蔽行为容易被忽略，企业常规监控可能无法察觉异常。

开发者和维护者账户被利用，攻击不仅依赖技术漏洞，也结合社会工程策略，增加了复杂性。

依赖管理

审核项目依赖，从可信镜像源下载软件包。
对关键依赖锁定版本和来源，避免无意识升级带来风险。

云身份管理

使用短期凭证和多因素身份验证，减少长期静态密钥的使用。
限制访问权限，确保每个用户和服务只能访问必要资源。

行为与环境监控

建立团队对异常操作的意识，例如未经审批的外部访问或异常凭证使用。
定期检查安装包和运行环境，及时发现异常行为或可疑文件。

培训与流程建设

提高开发团队对供应链风险的认知，培训识别可疑包和伪装行为。
将安全流程嵌入日常开发与发布环节，使风险防护成为常态操作。

↕ 上下滑动，查看更多

供应链安全已经不仅仅是代码问题，而是涉及供应商风险、软件安全、组件安全、云身份、依赖管理和开发者行为的综合问题。传统的安全防护方式，采购几台设备、几台工具的方式很难真正有效的解决问题。攻击者将目光投向云环境，传统防御方式难以覆盖全局。企业和开发者需要从“信任机制、凭证保护、行为监控和教育培训”多维度构建防线，才能在快速迭代的开源生态中，有效保护业务资产与云资源安全。

供应链安全治理解决方案

迪普科技为软件供应链安全打造全生命周期解决方案，依托专业的供应链安全检测服务，可全面识别软件漏洞、软件后门、开源许可证合规风险、源代码安全隐患、容器镜像漏洞及IaC配置缺陷等问题，精准发现隐藏的恶意代码与文件，从而有效化解软件供应链领域的八大核心风险，为供应链安全构建全流程防护屏障。

专业安全服务

迪普科技提供专业的安全服务能力，覆盖IPDRR模型（识别、防护、监测、响应、恢复）五大核心能力，为客户提供从预防到应对再到恢复的全周期安全解决方案，确保安全事件在事前、事中、事后各个阶段都能得到迅速、有效的处理。

在黑客攻击日益猖獗的今天，网络安全已成为不可忽视的重要议题。迪普科技始终站在研究阻止网络攻击的前沿，保持对网络风险的敏锐洞察力和对技术的专研创新，致力于为用户提供全面、可靠的网络安全解决方案。同时，迪普科技通过强大的创新能力及专业的安全服务能力，帮助企业及时发现、处置网络攻击行为，并提供全方位的安全保障。

往期推荐

END