东森平台宁静提示：DeepSeek热度高涨，不能忽视的宁静风险

宣布时间 2025-02-08

近日，东森平台VSRC监测到多个伪装成DeepSeek的钓鱼页面，可能用于窃取用户登录凭证。同时，研究人员发现Python软件包索引（PyPI）中存在恶意软件包“deepseeek”和“deepseekai”，这些包已被下架并删除。经分析，这些恶意软件包在开发者设备上执行后，会窃取系统数据及环境变量中的敏感信息，包罗API密钥、数据库凭证和基础设施访问令牌，对软件供应链宁静组成严重威胁。


宁静事件一：钓鱼页面


https://deepseeklogins.com/是一个钓鱼网站，其页面结构和风格与DeepSeek官方网站高度相似，旨在通过伪造官方页面诱导用户泄露敏感信息。真实官网的地址为 https://www.deepseek.com/。


1、真实页面


图片1.png


2、 钓鱼页面


与真实网站相比，钓鱼页面移除了中英文切换的超链接。在该钓鱼页面中，点击右上角的“API Platform”链接将跳转至官方的登录页面。然而，恶意攻击者可以随时修改该跳转链接，实施钓鱼攻击。


图片2.png

3、 其他恶意钓鱼网址


https://deepseek.boats/

https://deepseek-shares.com/
https://deepseek-aiassistant.com/
https://usadeepseek.com/
https://platform.deepseek.com/sign_in
http://deepseek-login.com/
https://deepseeklogins.com/
https://deepseeklogin.xyz/
https://deepseeklogin.me/
https://deepseeklogin.co/
https://deepseeklogin.us/


宁静事件二：PyPI投毒


2025年1月29日，用户bvk（该账户于2023年6月创建，且无其他活动记录）在Python软件包索引（PyPI）上传了两个软件包：“deepseek”和“deepseekai”。


图片3.png


经宁静研究人员分析，deepseeek软件包的哈希值为0bd29789ab155b95fbb11e44afc39b1fbb555bbbcacb210b03fed5a22e0fa03b，其文件名为deepseeek-0.0.8-py2.py3-none-any.whl。该软件包的主要功效是获取执行环境的用户名和主机名，并将这些信息发送至https://eoyyiyqubj7mquj.m.pipedream.net。


图片4.png


deepseekai软件包的哈希值为a68ff8f2124ebb707e86710a4bd1f376f0d867ee7d1d62ad8e518ed1c27d05d2，其文件名为deepseekai-0.0.8-py2.py3-none-any.whl。该软件包不仅会收集用户名和主机名，还会获取环境变量信息，并将所有收集到的数据发送至https://eoyyiyqubj7mquj.m.pipedream.net。


图片5.png


从代码的注释风格和结构化编写方式来看，该脚本可能是在AI的辅助下生成的。例如，代码中的典型注释格式（如# Suppress all warnings、# Attempt to get user ID with id command）以及代码逻辑的组织方式，切合AI生成代码的常见特点。此外，代码接纳了异常静默处置（pass语句），以及禁用SSL证书验证（verify=False），这些也是AI生成代码时可能泛起的模式。


代码中https://eoyyiyqubj7mquj.m.pipedream.net 是 Pipedream 平台提供的 HTTP 端点，可用于接收、存储并处置传入的数据。任何发送到该 URL 的信息都市被 Pipedream 记录，并可能用于后续分析或进一步操作。


图片6.jpg


宁静建议


此次事件表明，攻击者正在利用DeepSeek的品牌影响力提倡供应链攻击和钓鱼攻击，意图窃取敏感信息并破坏开发者环境。企业和开发者应提高警惕，严格审查软件来源，加强宁静防护措施，定期监测依赖项宁静性，以防范潜在的数据泄露和供应链攻击风险。


1、防范供应链攻击


审查第三方依赖：下载软件包前，检查 PyPI 宣布者信息、下载量和社区评价，制止使用来源不明的库。


验证软件完整性：使用 hash 校验（SHA256 等）验证软件包是否被改动。


限制环境变量袒露：制止在代码或日志中明文存储 API 密钥，使用环境隔离和最小权限原则。


监控异常流量：定期分析 HTTP 请求日志，防止敏感信息被发送至未知服务器。


2、防范钓鱼链接攻击


核实网站域名：仔细检查URL，确保拼写正确，制止访问伪造官方域名（如deepseeklogins.com可能冒充deepseek.com），确保网站使用HTTPS，但警惕HTTPS证书不代表网站宁静。


制止点击可疑链接：不要随意点击邮件、社交媒体或聊天软件中的未知链接。


定期更新密码：使用强密码，定期更新，并在差异网站使用差异凭据。


监控账户异常登录行为：发现可疑活动立即更改密码并联系官方支持。


IOC


0bd29789ab155b95fbb11e44afc39b1fbb555bbbcacb210b03fed5a22e0fa03b

a68ff8f2124ebb707e86710a4bd1f376f0d867ee7d1d62ad8e518ed1c27d05d2

https://eoyyiyqubj7mquj.m.pipedream.net/

https://deepseek.boats/

https://deepseek-shares.com/

https://deepseek-aiassistant.com/

https://usadeepseek.com/

https://platform.deepseek.com/sign_in

http://deepseek-login.com/

https://deepseeklogins.com/

https://deepseeklogin.xyz/

https://deepseeklogin.me/

https://deepseeklogin.co/

https://deepseeklogin.us/