En otra se\u00f1al de que los actores de amenazas siempre est\u00e1n buscando nuevas formas de enga\u00f1ar a los usuarios para que descarguen malware, ha salido a la luz que la plataforma de preguntas y respuestas (Q&A) conocida como Stack Exchange ha sido abusada para dirigir a desarrolladores desprevenidos a paquetes Python falsos capaces de vaciar sus billeteras de criptomonedas.<\/p>\n
“Al instalarse, este c\u00f3digo se ejecutar\u00eda autom\u00e1ticamente, poniendo en marcha una cadena de eventos dise\u00f1ados para comprometer y controlar los sistemas de la v\u00edctima, al mismo tiempo que exfiltraba sus datos y vaciaba sus billeteras criptogr\u00e1ficas”, dijeron los investigadores de Checkmarx Yehuda Gelb y Tzachi Zornstain en un comunicado. informe<\/a> compartido con The Hacker News.<\/p>\n La campa\u00f1a, que comenz\u00f3 el 25 de junio de 2024, se centr\u00f3 espec\u00edficamente en los usuarios de criptomonedas relacionados con Raydium y Solana. La lista de paquetes fraudulentos descubiertos como parte de la actividad se incluye a continuaci\u00f3n:<\/p>\n Los paquetes se han descargado en conjunto 2082 veces. Ya no est\u00e1n disponibles para su descarga desde el repositorio Python Package Index (PyPI).<\/p>\n El malware oculto dentro del paquete serv\u00eda como un ladr\u00f3n de informaci\u00f3n en toda regla, arrojando una amplia red de datos, incluidas contrase\u00f1as de navegadores web, cookies y detalles de tarjetas de cr\u00e9dito, billeteras de criptomonedas e informaci\u00f3n asociada con aplicaciones de mensajer\u00eda como Telegram, Signal y Session.<\/p>\n Tambi\u00e9n inclu\u00eda capacidades para capturar capturas de pantalla del sistema y buscar archivos que contuvieran c\u00f3digos de recuperaci\u00f3n de GitHub y claves de BitLocker. La informaci\u00f3n recopilada se comprim\u00eda y se filtraba a dos bots de Telegram diferentes mantenidos por el actor de la amenaza.<\/p>\n Por otra parte, un componente de puerta trasera presente en el malware le otorgaba al atacante acceso remoto persistente a las m\u00e1quinas de las v\u00edctimas, lo que permit\u00eda posibles ataques futuros y compromisos a largo plazo.<\/p>\n La cadena de ataque abarca varias etapas, y el paquete “raydium” incluye “spl-types” como dependencia en un intento de ocultar el comportamiento malicioso y dar a los usuarios la impresi\u00f3n de que era leg\u00edtimo.<\/p>\n Un aspecto notable de la campa\u00f1a es el uso de Stack Exchange como vector para impulsar la adopci\u00f3n mediante la publicaci\u00f3n de respuestas aparentemente \u00fatiles que hacen referencia al paquete en cuesti\u00f3n. Preguntas de desarrolladores<\/a> relacionado con la realizaci\u00f3n de transacciones de swap en Raydium usando Python.<\/p>\n “Al elegir un hilo con alta visibilidad (que obtuvo miles de visitas), el atacante maximiz\u00f3 su alcance potencial”, dijeron los investigadores, y agregaron que lo hicieron para “darle credibilidad a este paquete y asegurar su adopci\u00f3n generalizada”.<\/p>\n Si bien la respuesta ya no existe en Stack Exchange, The Hacker News encontr\u00f3 referencias a “raydium” en otro Pregunta sin contestar<\/a> publicado en el sitio de preguntas y respuestas con fecha del 9 de julio de 2024: “He estado luchando durante noches para obtener un intercambio en la red solana ejecut\u00e1ndose en Python 3.10.2 instalado solana, soldaduras y Raydium, pero no puedo lograr que funcione”, dijo un usuario.<\/p>\n Tambi\u00e9n se han hecho referencias a “raydium-sdk”. emergi\u00f3<\/a> en una publicaci\u00f3n titulada “C\u00f3mo comprar y vender tokens en Raydium usando Python: una gu\u00eda paso a paso de Solana” que fue compartida por un usuario llamado SolanaScribe en la plataforma de publicaci\u00f3n social Medium el 29 de junio de 2024.<\/p>\n Actualmente no est\u00e1 claro cu\u00e1ndo se eliminaron los paquetes de PyPI, ya que otros dos usuarios respondieron a la publicaci\u00f3n de Medium en busca de ayuda del autor sobre la instalaci\u00f3n de “raydium-sdk” hace apenas seis d\u00edas. Checkmarx le dijo a The Hacker News que la publicaci\u00f3n no es obra del actor de amenazas.<\/p>\n No es la primera vez que actores maliciosos recurren a un m\u00e9todo de distribuci\u00f3n de malware de este tipo. A principios de mayo, Sonatype revel\u00f3 c\u00f3mo se promov\u00eda un paquete llamado pytoileur a trav\u00e9s de otro servicio de preguntas y respuestas llamado Stack Overflow para facilitar el robo de criptomonedas.<\/p>\n En todo caso, este desarrollo es una prueba de que los atacantes est\u00e1n aprovechando la confianza en estas plataformas impulsadas por la comunidad para difundir malware, lo que conduce a ataques a gran escala a la cadena de suministro.<\/p>\n “Un \u00fanico desarrollador comprometido puede introducir vulnerabilidades sin darse cuenta en el ecosistema de software de toda una empresa, lo que podr\u00eda afectar a toda la red corporativa”, afirmaron los investigadores. “Este ataque sirve como una llamada de atenci\u00f3n para que tanto las personas como las organizaciones reeval\u00faen sus estrategias de seguridad”.<\/p>\n El desarrollo se produce despu\u00e9s de que Fortinet FortiGuard Labs detallara un paquete PyPI malicioso llamado zlibxjson que inclu\u00eda funciones para robar informaci\u00f3n confidencial, como tokens de Discord, cookies guardadas en Google Chrome, Mozilla Firefox, Brave y Opera, y contrase\u00f1as almacenadas de los navegadores. La biblioteca atrajo un total de 602 descargas<\/a> antes de que lo retiraran de PyPI.<\/p>\n “Estas acciones pueden provocar acceso no autorizado a cuentas de usuario y la exfiltraci\u00f3n de datos personales, clasificando claramente el software como malicioso”, dijo la investigadora de seguridad Jenna Wang. dicho<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Los-piratas-informaticos-distribuyen-paquetes-maliciosos-de-Python-a-traves.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n