Se ha descubierto que un paquete malicioso ahora eliminado enviado al repositorio oficial de software de terceros para Python implementa criptomineros en sistemas Linux.
El módulo, llamado “secretoslib” y descargado 93 veces antes de su eliminación, se publicó en el Índice de paquetes de Python (PyPI) el 6 de agosto de 2022 y se describe como “comparación y verificación de secretos simplificada”.
“Sin embargo, en una inspección más cercana, el paquete ejecuta criptomineros de forma encubierta en la memoria de su máquina Linux (directamente desde su RAM), una técnica empleada en gran medida por malware y encriptadores sin archivos”, Ax Sharma, investigador de Sonatype. revelado en un informe la semana pasada.
Lo logra mediante la ejecución de un archivo ejecutable de Linux recuperado de un servidor remoto posterior a la instalación, cuya tarea principal es soltar un DUENDE expediente (“memoria“) directamente en la memoria que funciona como un criptominero de Monero, después de lo cual el paquete “secretslib” lo elimina.
“La actividad maliciosa deja poca o ninguna huella y es bastante ‘invisible’ en un sentido forense”, señaló Sharma.
Además de eso, el actor de amenazas detrás del paquete abusó de la identidad y la información de contacto de un ingeniero de software legítimo que trabajaba para el Laboratorio Nacional de Argonne, un laboratorio financiado por el Departamento de Energía de EE. UU., para dar credibilidad al malware.
La idea, en pocas palabras, es engañar a los usuarios para que descarguen bibliotecas envenenadas asignándolas a mantenedores populares y confiables sin su conocimiento o consentimiento: una amenaza en la cadena de suministro llamada plantación de paquetes.
El desarrollo se produce cuando PyPi tomó medidas para purgar 10 paquetes maliciosos que fueron orquestados para recolectar puntos de datos críticos, como contraseñas y tokens de API.
About the Author
