Los cazadores de amenazas han descubierto un conjunto de siete paquetes en el repositorio Python Package Index (PyPI) que est\u00e1n dise\u00f1ados para robar Frases mnemot\u00e9cnicas BIP39<\/a> utilizado para recuperar claves privadas de una billetera de criptomonedas.<\/p>\n ReversingLabs ha denominado a la campa\u00f1a de ataque a la cadena de suministro de software el nombre en c\u00f3digo BIPClip. Los paquetes se descargaron colectivamente 7451 veces antes de ser eliminados de PyPI. La lista de paquetes es la siguiente:<\/p>\n Se dice que BIPClip, que est\u00e1 dirigido a desarrolladores que trabajan en proyectos relacionados con la generaci\u00f3n y seguridad de billeteras de criptomonedas, est\u00e1 activo desde al menos el 4 de diciembre de 2022, cuando hashdecrypt se public\u00f3 por primera vez en el registro.<\/p>\n “Esta es s\u00f3lo la \u00faltima campa\u00f1a de la cadena de suministro de software dirigida a los criptoactivos”, dijo el investigador de seguridad Karlo Zanki. dicho<\/a> en un informe compartido con The Hacker News. “Confirma que las criptomonedas siguen siendo uno de los objetivos m\u00e1s populares para los actores que amenazan la cadena de suministro”.<\/p>\n En una se\u00f1al de que los actores de amenazas detr\u00e1s de la campa\u00f1a tuvieron cuidado de evitar la detecci\u00f3n, uno de los paquetes en cuesti\u00f3n, mnemonic_to_address, carec\u00eda de cualquier funcionalidad maliciosa, salvo que incluyera bip39-mnemonic-decrypt como su dependencia, que conten\u00eda el componente malicioso. .<\/p>\n “Incluso si optaron por observar las dependencias del paquete, el nombre del m\u00f3dulo importado y la funci\u00f3n invocada se eligen cuidadosamente para imitar funciones leg\u00edtimas y no levantar sospechas, ya que las implementaciones del est\u00e1ndar BIP39 incluyen muchas operaciones criptogr\u00e1ficas”, explic\u00f3 Zanki.<\/p>\n El paquete, por su parte, est\u00e1 dise\u00f1ado para robar frases mnemot\u00e9cnicas y exfiltrar la informaci\u00f3n a un servidor controlado por el actor.<\/p>\n Otros dos paquetes identificados por ReversingLabs (generador de direcciones p\u00fablicas y esc\u00e1ner erc20) funcionan de manera an\u00e1loga, y el primero act\u00faa como un se\u00f1uelo para transmitir las frases mnemot\u00e9cnicas al mismo servidor de comando y control (C2).<\/p>\n Por otro lado, hashdecrypts funciona de manera un poco diferente en el sentido de que no est\u00e1 concebido para funcionar en pareja y contiene en su interior un c\u00f3digo casi id\u00e9ntico para recopilar los datos.<\/p>\n El paquete, seg\u00fan la empresa de seguridad de la cadena de suministro de software, incluye referencias a un perfil de GitHub llamado “HashSnake”, que cuenta con un repositorio llamado hCrypto que se anuncia como una forma de extraer frases mnemot\u00e9cnicas de billeteras criptogr\u00e1ficas utilizando el paquete hashdecrypts.<\/p>\n Un examen m\u00e1s detenido del repositorio cometer historial<\/a> revela que la campa\u00f1a ha estado en marcha durante m\u00e1s de un a\u00f1o bas\u00e1ndose en el hecho de que uno de los scripts de Python import\u00f3 previamente el paquete hashdecrypt (sin la “s”) en lugar de hashdecrypts hasta el 1 de marzo de 2024, la misma fecha en que se carg\u00f3 hashdecrypts en PyPI. .<\/p>\n Vale la pena se\u00f1alar que los actores de amenazas detr\u00e1s de la cuenta HashSnake tambi\u00e9n tienen presencia en Telegrama<\/a> y YouTube<\/a> para anunciar su warez. Esto incluye lanzando un v\u00eddeo<\/a> el 7 de septiembre de 2022, que muestra una herramienta de verificaci\u00f3n de registros criptogr\u00e1ficos denominada xMultiChecker 2.0.<\/p>\n “El contenido de cada uno de los paquetes descubiertos fue cuidadosamente elaborado para que parecieran menos sospechosos”, dijo Zanki.<\/p>\n “Estaban enfocados en comprometer billeteras criptogr\u00e1ficas y robar las criptomonedas que conten\u00edan. Esa ausencia de una agenda y ambiciones m\u00e1s amplias hizo que fuera menos probable que esta campa\u00f1a hiciera tropezar las herramientas de seguridad y monitoreo implementadas dentro de las organizaciones comprometidas”.<\/p>\n Los hallazgos subrayan una vez m\u00e1s las amenazas a la seguridad que acechan dentro de los repositorios de paquetes de c\u00f3digo abierto, lo que se ve exacerbado por el hecho de que servicios leg\u00edtimos como GitHub se utilizan como conducto para distribuir malware<\/a>.<\/p>\n Adem\u00e1s, los proyectos abandonados se est\u00e1n convirtiendo en un vector atractivo para que los actores de amenazas tomen el control de las cuentas de los desarrolladores y publiquen versiones troyanizadas que luego podr\u00edan allanar el camino para ataques a la cadena de suministro a gran escala.<\/p>\n “Los activos digitales abandonados no son reliquias del pasado; son bombas de tiempo y los atacantes se han aprovechado cada vez m\u00e1s de ellos, transform\u00e1ndolos en caballos de Troya dentro de los ecosistemas de c\u00f3digo abierto”, Checkmarx anotado<\/a> el mes pasado.<\/p>\n “MavenGate y CacaoPods<\/a> Los estudios de caso destacan c\u00f3mo los dominios y subdominios abandonados podr\u00edan ser secuestrados para enga\u00f1ar a los usuarios y difundir intenciones maliciosas”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/03\/Cuidado-estos-paquetes-de-PyPI-Python-pueden-agotar-sus-billeteras.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n