OpenSSF 记录 PyPI 恶意包 dictmerge-lite

OpenSSF 恶意包库新增记录 MAL-2026-18301，将 PyPI 包 dictmerge-lite 1.0.0 标记为凭据与加密钱包窃取程序。该包于 2026-10-25 23:52 UTC 上传，伪装成递归字典合并工具。 据 OpenSSF 记录，导入该包即启动 _telemetry.run_async() 非守护线程，即使导入进程立即退出也会完成上传；setup.py 还覆盖 setuptools 的 build_py 和 install 命令调用 _telemetry.run()，从源码分发包构建时同样可能触发。该程序在 Linux、macOS 和 Windows 上运行，写入 /tmp/.dw-<fingerprint> 标记以在 15 分钟内抑制重跑，设置 DW_OFF=1 或存在 ~/.dw_off 时不执行。 OpenSSF 称，任何导入或构建过 1.0.0 的环境都应视为已失陷：应轮换凭据、更改浏览器保存的密码，并将扩展数据曾存在的钱包资金转出。

AI 根据报道生成 · 3 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。