網(wǎng)絡(luò)安全研究人員披露了在NuGet Gallery上發(fā)現(xiàn)的一個新惡意軟件包的詳細(xì)信息，該軟件包冒充金融服務(wù)公司Stripe的庫，企圖針對金融行業(yè)發(fā)起攻擊。

這個代號為StripeApi.Net的惡意軟件包試圖偽裝成Stripe.net，后者是Stripe公司的合法庫，下載量超過7500萬次。該惡意包由名為StripePayments的用戶于2026年2月16日上傳，目前已被移除。

ReversingLabs的安全研究員Petar Kirhmajer表示："這個惡意軟件包的NuGet頁面被設(shè)計得盡可能與官方Stripe.net包相似。它使用了與合法軟件包相同的圖標(biāo)，包含幾乎相同的說明文檔，只是將'Stripe.net'的引用替換為'Stripe-net'。"

為了進(jìn)一步提高這個域名搶注包的可信度，該攻擊活動背后的威脅行為者據(jù)說人為地將下載量夸大到超過18萬次。但有趣的是，這些下載量分布在506個版本中，每個版本平均記錄約300次下載。

該惡意包復(fù)制了合法Stripe包的部分功能，但同時修改了某些關(guān)鍵方法來收集和傳輸敏感數(shù)據(jù)，包括用戶的Stripe API令牌，將這些信息發(fā)送給威脅行為者。由于代碼庫的其余部分保持完全正常功能，不太可能引起意外下載它的開發(fā)者的懷疑。

ReversingLabs表示，他們在該軟件包初次發(fā)布后"相對較快"地發(fā)現(xiàn)并報告了這個威脅，導(dǎo)致它在造成嚴(yán)重?fù)p害之前就被移除。

這家軟件供應(yīng)鏈安全公司還指出，這一活動標(biāo)志著從之前利用虛假NuGet包針對加密貨幣生態(tài)系統(tǒng)并促進(jìn)錢包密鑰盜取的攻擊活動發(fā)生了轉(zhuǎn)變。

Kirhmajer說："錯誤下載并集成像StripeAPI.net這樣的域名搶注庫的開發(fā)者，他們的應(yīng)用程序仍然可以成功編譯并按預(yù)期運行。付款處理會正常進(jìn)行，從開發(fā)者的角度來看，似乎沒有任何問題。然而在后臺，敏感數(shù)據(jù)正在被惡意行為者秘密復(fù)制和竊取。"

Q&A

Q1：StripeApi.Net惡意包是如何偽裝官方庫的？

A：StripeApi.Net通過使用與官方Stripe.net包相同的圖標(biāo)、幾乎相同的說明文檔來偽裝，只是將包名從'Stripe.net'改為'Stripe-net'，還人為地將下載量夸大到超過18萬次，分布在506個版本中。

Q2：這個惡意包會竊取什么數(shù)據(jù)？

A：該惡意包主要竊取用戶的Stripe API令牌等敏感數(shù)據(jù)。它復(fù)制了合法Stripe包的部分功能，但修改了關(guān)鍵方法來收集和傳輸這些敏感信息給威脅行為者。

Q3：開發(fā)者如何識別這類惡意包？

A：這類惡意包很難識別，因為它們保持了正常功能，應(yīng)用程序能成功編譯運行，付款處理也正常。開發(fā)者應(yīng)該仔細(xì)檢查包名拼寫，驗證發(fā)布者身份，并關(guān)注官方渠道的安全通告。