En otra campaña dirigida al repositorio Python Package Index (PyPI), se han descubierto seis paquetes maliciosos que despliegan ladrones de información en los sistemas de los desarrolladores.
Los paquetes ahora eliminados, que fueron descubiertos por Phylum entre el 22 y el 31 de diciembre de 2022.
El código malicioso, como ocurre cada vez con más frecuencia, está oculto en el script de instalación (setup.py) de estas librerías, lo que significa que basta con ejecutar un comando "pip install" para activar el proceso de despliegue del malware.
El malware está diseñado para lanzar un script PowerShell que recupera un archivo ZIP, instala dependencias invasivas como pynput, pydirectinput y pyscreenshot, y ejecuta un script Visual Basic extraído del archivo para ejecutar más código PowerShell.
"Estas bibliotecas permiten controlar y supervisar la entrada del ratón y el teclado y capturar el contenido de la pantalla", afirma Phylum en un informe técnico publicado la semana pasada.
Los paquetes maliciosos también son capaces de recopilar cookies, contraseñas guardadas y datos de monederos de criptomonedas de los navegadores Google Chrome, Mozilla Firefox, Microsoft Edge, Brave, Opera, Opera GX y Vivaldi.
Pero en lo que es una técnica novedosa adoptada por el actor de la amenaza, el ataque intenta además descargar e instalar cloudflared, una herramienta de línea de comandos para Cloudflare Tunnel, que ofrece una "forma segura de conectar tus recursos a Cloudflare sin una dirección IP enrutable públicamente".
La idea, en pocas palabras, es aprovechar el túnel para acceder remotamente a la máquina comprometida a través de una aplicación basada en Flask, que alberga un troyano apodado xrat (pero cuyo nombre en código es poweRAT por Phylum).
El malware permite al autor de la amenaza ejecutar comandos shell, descargar archivos remotos y ejecutarlos en el host, filtrar archivos y directorios completos, e incluso ejecutar código python arbitrario.
La aplicación Flask también admite una función "en vivo" que utiliza JavaScript para escuchar los eventos de clic del ratón y el teclado y capturar capturas de pantalla del sistema con el fin de obtener cualquier información sensible introducida por la víctima.
"Esta cosa es como una RAT con esteroides", dijo Phylum. "Tiene todas las funciones básicas de un RAT integradas en una bonita interfaz gráfica de usuario web, con una capacidad rudimentaria de escritorio remoto y, además, un ladrón".
Los hallazgos son una ventana más a la forma en que los atacantes están evolucionando continuamente sus tácticas para atacar los repositorios de paquetes de código abierto y los ataques a la cadena de suministro.
A finales del mes pasado, Phylum también reveló una serie de módulos npm fraudulentos que se encontraron filtrando variables de entorno de los sistemas instalados.
Los seis paquetes maliciosos que Phylum detectó son los siguientes:
- pyrologin? 165 descargas
- easytimestamp? 141 descargas
- discorder? 83 descargas
- discord-dev? 228 descargas
- style.py ? 193 descargas
- pythonstyles? 130 descargas
Fuente: thehackernews