OpenSSF收录PyPI语音合成活动恶意加载器包
先了解这件事
OpenSSF恶意包库收录了PyPI上一批恶意加载器包，均属2026-10-voice-synthesis-profiles活动，版本为0.1.0。已记录的名称包括aurenatts、batchspar、brummatts、codecraze、acousticpack、acoustichub、asrdock、asrloom、dictanovaasr、hookgantry等，其中acousticpack、codecraze、dictanovaasr等被分配了MAL-2026-18152、MAL-2026-18137、MAL-2026-18139等编号。 这些包本身不含恶意载荷，作用是从给定URL下载并执行远程恶意脚本。OpenSSF称该活动由多个相似的加载器包组成，用途尚不明确，但明显是有组织地布置多种欺骗性加载恶意代码的方式。
AI 根据报道生成 · 19 小时前更新
事件进展
2 个进展
- 10月22日 08:45 · 3 篇报道OpenSSF恶意包库收录PyPI恶意加载器包OpenSSF 恶意包库：OpenSSF 恶意包库更新：收录 PyPI 恶意包 acousticpack、codecraze 等（2026-10-voice-synthesis-profiles 活动）
- 10月22日 07:40 · 1 篇报道OpenSSF恶意包库收录PyPI恶意loader包活动OpenSSF 恶意包库：OpenSSF 恶意包库更新：收录 PyPI 恶意包 OSV 数据
报道时间线
沿着报道，了解事件的不同侧面。
- OpenSSF 恶意包库OpenSSF 恶意包库更新：为 PyPI 恶意包分配 MAL 编号
OpenSSF 恶意包库为 PyPI 上的 acoustichub、acousticpack、asrdock 等恶意包分配 MAL-2026-18155、MAL-2026-18152、MAL-2026-18156 等编号。这些包属于 2026-10-voice-synthesis-profiles 活动，作为加载器从给定 URL 下载并执行远程恶意脚本，本身不含恶意载荷，用途尚不明确。
- OpenSSF 恶意包库OpenSSF 恶意包库更新：收录 PyPI 恶意包 acoustichub、acousticpack、asrdock、asrloom
OpenSSF 恶意包库新增收录 PyPI 上的 acoustichub、acousticpack、asrdock、asrloom 等恶意包，均仅涉及 0.1.0 版本，归属活动 2026-10-voice-synthesis-profiles。
- OpenSSF 恶意包库OpenSSF 恶意包库更新：为 PyPI 恶意包 acousticpack、codecraze、dictanovaasr 分配 MAL 编号
OpenSSF 恶意包库为 PyPI 上的 acousticpack、codecraze、dictanovaasr 等包分配 MAL-2026-18152、MAL-2026-18137、MAL-2026-18139 等编号。
- OpenSSF 恶意包库OpenSSF 恶意包库更新：收录 PyPI 恶意包 acousticpack、codecraze 等（2026-10-voice-synthesis-profiles 活动）
OpenSSF 恶意包库新增收录 PyPI 恶意包 acousticpack、codecraze、dictanovaasr、hookgantry，均属 2026-10-voice-synthesis-profiles 活动，版本为 0.1.0。这些 loader 包会从给定 URL 下载并执行远程恶意脚本，本身不含恶意载荷，用途尚不明确。
- OpenSSF 恶意包库OpenSSF 恶意包库更新：收录 PyPI 恶意包 OSV 数据
OpenSSF 恶意包库更新了 PyPI 恶意包 OSV 数据，新增 aurenatts、batchspar、brummatts、codecraze 等包（均为 0.1.0 版本）的恶意记录。这些包属于 2026-10-voice-synthesis-profiles 活动，作为加载器从给定 URL 下载并执行远程恶意脚本，本身不含恶意载荷，用途尚不明确。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。