Los administradores del repositorio Python Package Index (PyPI) han puesto en cuarentena el paquete «aiocpa» tras una nueva actualización que incluía código malicioso para exfiltrar claves privadas a través de Telegram.
El paquete en cuestión se describe como un cliente síncrono y asíncrono de la API Crypto Pay. El paquete, publicado originalmente en septiembre de 2024, ha sido descargado 12.100 veces hasta la fecha.
Al poner la biblioteca Python en cuarentena, se impide que los clientes sigan instalándola y sus mantenedores no pueden modificarla.
La empresa de ciberseguridad Phylum, que compartió los detalles del ataque a la cadena de suministro de software la semana pasada, dijo que el autor del paquete publicó la actualización maliciosa en PyPI, mientras mantenía limpio el repositorio GitHub de la biblioteca en un intento de evadir la detección.
Actualmente no está claro si el desarrollador original estaba detrás de la actualización maliciosa o si sus credenciales fueron comprometidas por un actor de amenaza diferente.
Los primeros indicios de actividad maliciosa se detectaron en la versión 0.1.13 de la biblioteca, que incluía un cambio en el script de Python «sync.py» diseñado para descifrar y ejecutar un fragmento de código ofuscado inmediatamente después de instalar el paquete.
«Este blob en particular está codificado recursivamente y comprimido 50 veces», dijo Phylum, agregando que se usa para capturar y transmitir el token de la API de Crypto Pay de la víctima usando un bot de Telegram.
Vale la pena señalar que Crypto Pay se anuncia como un sistema de pago basado en Crypto Bot (@CryptoBot) que permite a los usuarios aceptar pagos en cripto y transferir monedas a usuarios que utilizan la API.
El incidente es significativo, entre otras cosas porque pone de relieve la importancia de escanear el código fuente de los paquetes antes de descargarlos, en lugar de limitarse a comprobar sus repositorios asociados.
«Como se evidencia aquí, los atacantes pueden mantener deliberadamente repositorios de código fuente limpios mientras distribuyen paquetes maliciosos a los ecosistemas», dijo la compañía, agregando que el ataque »sirve como un recordatorio de que el historial de seguridad anterior de un paquete no garantiza su seguridad continua.»
Fuente: thehackernews