Se ha observado que un actor de amenazas desconocido publica paquetes typosquat en el repositorio Python Package Index (PyPI) durante casi seis meses con el objetivo de entregar malware capaz de ganar persistencia, robar datos confidenciales y acceder a billeteras de criptomonedas para obtener ganancias financieras.<\/p>\n
Los 27 paquetes, que se hicieron pasar por bibliotecas populares leg\u00edtimas de Python, atrajeron miles de descargas, dijo Checkmarx en un nuevo informe. La mayor\u00eda de las descargas se originaron en EE. UU., China, Francia, Hong Kong, Alemania, Rusia, Irlanda, Singapur, Reino Unido y Jap\u00f3n.<\/p>\n
“Una caracter\u00edstica definitoria de este ataque fue la utilizaci\u00f3n de esteganograf\u00eda para ocultar una carga maliciosa dentro de un archivo de imagen de apariencia inocente, lo que aument\u00f3 el sigilo del ataque”, dijo la firma de seguridad de la cadena de suministro de software. dicho<\/a>.<\/p>\n Algunos de los paquetes son pyefflorer, pyminor, pyowler, pystallerer, pystob y pywool, el \u00faltimo de los cuales se plant\u00f3 el 13 de mayo de 2023.<\/p>\n Un denominador com\u00fan de estos paquetes es el uso del script setup.py para incluir referencias a otros paquetes maliciosos (es decir, pystob y pywool) que implementan un script de Visual Basic (VBScript) para descargar y ejecutar un archivo llamado “Runtime. exe” para lograr persistencia en el host.<\/p>\n Incrustado en el binario hay un archivo compilado que es capaz de recopilar informaci\u00f3n de navegadores web, billeteras de criptomonedas y otras aplicaciones.<\/p>\n Se dice que una cadena de ataque alternativa observada por Checkmarx ocult\u00f3 el c\u00f3digo ejecutable dentro de una imagen PNG (“uwu.png”), que posteriormente se decodifica y ejecuta para extraer la direcci\u00f3n IP p\u00fablica y el identificador \u00fanico universal (UUID<\/a>) del sistema afectado.<\/p>\n Pystob y Pywool, en particular, se publicaron bajo la apariencia de herramientas para la administraci\u00f3n de API, solo para filtrar los datos a un webhook de Discord e intentar mantener la persistencia colocando el archivo VBS en la carpeta de inicio de Windows.<\/p>\n “Esta campa\u00f1a sirve como otro claro recordatorio de las amenazas siempre presentes que existen en el panorama digital actual, particularmente en \u00e1reas donde la colaboraci\u00f3n y el intercambio abierto de c\u00f3digo son fundamentales”, dijo Checkmarx.<\/p>\n El desarrollo surge como ReversingLabs descubierto<\/a> una nueva ola de paquetes npm de protestware que “ocultan scripts que transmiten mensajes de paz relacionados con los conflictos en Ucrania, Israel y la Franja de Gaza”.<\/p>\n Uno de los paquetes, llamado @snyk\/peine-su\u00e9ter<\/a> (versi\u00f3n 2.1.1), determina la ubicaci\u00f3n geogr\u00e1fica del host y, si se encuentra que es Rusia, muestra un mensaje criticando la “invasi\u00f3n injustificada” de Ucrania a trav\u00e9s de otro m\u00f3dulo llamado “es5-ext<\/a>“.<\/p>\n Otro paquete, e2eakarev<\/a>tiene la descripci\u00f3n “paquete de protesta de Palestina libre” en el archivo package.json y lleva a cabo comprobaciones similares para ver si la direcci\u00f3n IP se resuelve en Israel y, de ser as\u00ed, registra lo que se describe como un “mensaje de protesta inofensivo” que insta a los desarrolladores a sensibilizar sobre la lucha palestina.<\/p>\n No son s\u00f3lo los actores de amenazas los que se infiltran en los ecosistemas de c\u00f3digo abierto. A principios de esta semana, GitGuardian revel\u00f3<\/a> la presencia de 3938 secretos \u00fanicos en total en 2922 proyectos PyPI, de los cuales 768 secretos \u00fanicos resultaron v\u00e1lidos.<\/p>\n Esto incluye claves de AWS, claves API de Azure Active Directory, claves de aplicaciones GitHub OAuth, claves de Dropbox, claves SSH y credenciales asociadas con MongoDB, MySQL, PostgreSQL, Coinbase y Twilio.<\/p>\n Es m\u00e1s, muchos de estos secretos se filtraron m\u00e1s de una vez, abarcando m\u00faltiples versiones, lo que eleva el n\u00famero total de ocurrencias a 56.866.<\/p>\n “Exponer secretos en paquetes de c\u00f3digo abierto conlleva riesgos significativos tanto para los desarrolladores como para los usuarios”, dijo Tom Forbes de GitGuardian. “Los atacantes pueden explotar esta informaci\u00f3n para obtener acceso no autorizado, hacerse pasar por los mantenedores de paquetes o manipular a los usuarios mediante t\u00e1cticas de ingenier\u00eda social”.<\/p>\n La ola continua de ataques dirigidos a la cadena de suministro de software tambi\u00e9n ha llevado al gobierno de EE. UU. a emitir este mes nuevas directrices para que los desarrolladores y proveedores de software mantengan y proporcionen conciencia sobre la seguridad del software.<\/p>\n “Se recomienda que las organizaciones de adquisici\u00f3n asigne evaluaciones de riesgos de la cadena de suministro a sus decisiones de compra, dados los recientes incidentes de alto perfil en la cadena de suministro de software”, dijeron la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), la Agencia de Seguridad Nacional (NSA) y la Oficina del Director. de Inteligencia Nacional (ODNI) dicho<\/a>.<\/p>\n “Los desarrolladores y proveedores de software deber\u00edan mejorar sus procesos de desarrollo de software y reducir el riesgo de da\u00f1o no s\u00f3lo a los empleados y accionistas, sino tambi\u00e9n a sus usuarios”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/11\/Se-han-encontrado-27-paquetes-PyPI-maliciosos-con-miles-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n