惡意StripeApi NuGet包模仿官方庫竊取API令牌

網絡安全研究人員披露了在NuGet Gallery上發現的一個新惡意軟件包的詳細信息，該軟件包冒充金融服務公司Stripe的庫，企圖針對金融行業發起攻擊。

這個代號為StripeApi.Net的惡意軟件包試圖偽裝成Stripe.net，后者是Stripe公司的合法庫，下載量超過7500萬次。該惡意包由名為StripePayments的用戶于2026年2月16日上傳，目前已被移除。

ReversingLabs的安全研究員Petar Kirhmajer表示："這個惡意軟件包的NuGet頁面被設計得盡可能與官方Stripe.net包相似。它使用了與合法軟件包相同的圖標，包含幾乎相同的說明文檔，只是將'Stripe.net'的引用替換為'Stripe-net'。"

為了進一步提高這個域名搶注包的可信度，該攻擊活動背后的威脅行為者據說人為地將下載量夸大到超過18萬次。但有趣的是，這些下載量分布在506個版本中，每個版本平均記錄約300次下載。

該惡意包復制了合法Stripe包的部分功能，但同時修改了某些關鍵方法來收集和傳輸敏感數據，包括用戶的Stripe API令牌，將這些信息發送給威脅行為者。由于代碼庫的其余部分保持完全正常功能，不太可能引起意外下載它的開發者的懷疑。

ReversingLabs表示，他們在該軟件包初次發布后"相對較快"地發現并報告了這個威脅，導致它在造成嚴重損害之前就被移除。

這家軟件供應鏈安全公司還指出，這一活動標志著從之前利用虛假NuGet包針對加密貨幣生態系統并促進錢包密鑰盜取的攻擊活動發生了轉變。

Kirhmajer說："錯誤下載并集成像StripeAPI.net這樣的域名搶注庫的開發者，他們的應用程序仍然可以成功編譯并按預期運行。付款處理會正常進行，從開發者的角度來看，似乎沒有任何問題。然而在后臺，敏感數據正在被惡意行為者秘密復制和竊取。"

Q&A

Q1：StripeApi.Net惡意包是如何偽裝官方庫的？

A：StripeApi.Net通過使用與官方Stripe.net包相同的圖標、幾乎相同的說明文檔來偽裝，只是將包名從'Stripe.net'改為'Stripe-net'，還人為地將下載量夸大到超過18萬次，分布在506個版本中。

Q2：這個惡意包會竊取什么數據？

A：該惡意包主要竊取用戶的Stripe API令牌等敏感數據。它復制了合法Stripe包的部分功能，但修改了關鍵方法來收集和傳輸這些敏感信息給威脅行為者。

Q3：開發者如何識別這類惡意包？

A：這類惡意包很難識別，因為它們保持了正常功能，應用程序能成功編譯運行，付款處理也正常。開發者應該仔細檢查包名拼寫，驗證發布者身份，并關注官方渠道的安全通告。