Duas bibliotecas Python maliciosas adicionais encontradas no repositório PyPI pela equipe da Kaspersky.
Mais dois pacotes Python maliciosos foram descobertos no repositório Python Package Index (PyPI), dias depois que pesquisadores de segurança da Check Point detectaram 10 deles.
Os dois pacotes adicionais também foram encontrados, desta vez pela Kaspersky, que postou um aviso descrevendo-os em seu blog .
De acordo com a equipe de segurança, os dois novos pacotes estavam se passando por um dos pacotes de código aberto mais populares no PyPI.
“O invasor usou uma descrição do pacote legítimo de ‘solicitações’ para induzir as vítimas a instalar um pacote malicioso”, escreveu Kaspersky.
Além disso, a descrição continha estatísticas falsas, sugerindo que o pacote foi instalado 230 milhões de vezes em um mês e tinha mais de 48.000 “estrelas” no GitHub.
“A descrição do projeto também faz referência às páginas da web do pacote original de ‘solicitações’, bem como ao e-mail do autor”, disse Kaspersky. “Todas as menções ao nome do pacote legítimo foram substituídas pelo nome do pacote malicioso.”
O código dos pacotes maliciosos também era extremamente semelhante ao código do pacote ‘requests’ legítimo, exceto por um arquivo chamado exception.py.
A versão modificada do script (com data de 30 de julho, data de publicação do pacote malicioso), foi responsável por entregar uma carga maliciosa.
“O script grava outro script Python one-liner em um arquivo temporário e, em seguida, executa esse arquivo por meio da função system.start(). Em seguida, esse script de uma linha baixa o script do próximo estágio”, explicou Kaspersky.
A próxima etapa do ataque dependeria de um downloader ofuscado com uma ferramenta disponível publicamente chamada Hyperion, que implantaria a carga útil do estágio final com um script que permitisse a persistência na máquina infectada.
A carga final, apelidada de “W4SP Stealer” por seu autor no código, é um Trojan escrito em Python e ofuscado com o mesmo ofuscador que o downloader.
O malware pode roubar endereços IP e trabalhar com criptografia para descriptografar cookies e senhas de navegadores. Após a infecção inicial, o Trojan começa a coletar tokens do Discord, cookies salvos e senhas de navegadores em threads separados.
“O script injetado monitora as ações da vítima, como alterar seu endereço de e-mail, senha ou informações de cobrança. As informações atualizadas também são enviadas para o canal Discord”, diz o comunicado.
A Kaspersky encerrou o documento confirmando que relatou os dois pacotes à equipe de segurança do PyPI e ao banco de dados de vulnerabilidades Snyk.
A descoberta dos pacotes maliciosos ocorre semanas depois que o PyPI anunciou que começaria a aplicar uma política obrigatória de autenticação de dois fatores (2FA) para projetos classificados como “críticos”.
Fonte: Infosecurity Magazine
Veja também:
- Ataque Hacker ao Datacenter da Prefeitura do Rio de Janeiro
- Motivação financeira e espionagem dominam ataques na internet
- Fortinet abre um novo Centro de Assistência Técnica na Colômbia
- Atualizações de software falsas do Google espalham novo ransomware
- Mascaramento de dados versus criptografia de dados: como eles diferem?
- Windows 11 Smart App Control bloqueia arquivos usados para enviar malware
- Novo malware Linux força servidores SSH a violar redes
- Como os ciberataques estão mudando de acordo com Relatório de Defesa Digital da Microsoft
- Firewall de hiperescala para data centers e redes 5G mais rápido e compacto do mundo
- Dados de clientes Twilio expostos após funcionários cairem em phishing
- Não pague resgates, dizem o governo do Reino Unido e Privacy Watchdog
- Quer se tornar um Red Teamer? Isso é o que você precisa saber
Be the first to comment