Investigadores de ciberseguridad han descubierto un nuevo conjunto de paquetes Python maliciosos que apuntan a desarrolladores de software bajo la apariencia de evaluaciones de codificaci\u00f3n.<\/p>\n
“Las nuevas muestras fueron rastreadas hasta proyectos de GitHub que han sido vinculados a ataques espec\u00edficos anteriores en los que se atrae a los desarrolladores mediante entrevistas de trabajo falsas”, dijo el investigador de ReversingLabs, Karlo Zanki. dicho<\/a>.<\/p>\n Se ha evaluado que la actividad es parte de una campa\u00f1a en curso denominada VMConnect que sali\u00f3 a la luz por primera vez en agosto de 2023. Hay indicios de que es obra del Grupo Lazarus respaldado por Corea del Norte.<\/p>\n El uso de entrevistas de trabajo como vector de infecci\u00f3n ha sido ampliamente adoptado por actores de amenazas norcoreanos, ya sea acerc\u00e1ndose a desarrolladores desprevenidos en sitios como LinkedIn o enga\u00f1\u00e1ndolos para que descarguen paquetes fraudulentos como parte de una supuesta prueba de habilidades.<\/p>\n Estos paquetes, por su parte, han sido publicados directamente en repositorios p\u00fablicos como npm y PyPI, o alojados en repositorios de GitHub bajo su control.<\/p>\n ReversingLabs dijo que identific\u00f3 c\u00f3digo malicioso incrustado en versiones modificadas de bibliotecas PyPI leg\u00edtimas como clip de pene<\/a> y base de pira<\/a>.<\/p>\n “El c\u00f3digo malicioso est\u00e1 presente tanto en el archivo __init__.py como en su correspondiente archivo Python compilado (PYC) dentro del directorio __pycache__ de los respectivos m\u00f3dulos”, dijo Zanki.<\/p>\n Se implementa en forma de una cadena codificada en Base64 que oculta una funci\u00f3n de descarga, que establece contacto con un servidor de comando y control (C2) para ejecutar comandos recibidos como respuesta.<\/p>\n En un caso de tarea de codificaci\u00f3n identificada por la empresa de cadena de suministro de software, los actores de amenazas buscaron crear una falsa sensaci\u00f3n de urgencia al exigir a los solicitantes de empleo que crearan un proyecto de Python compartido en forma de archivo ZIP en cinco minutos y que encontraran y solucionaran una falla de codificaci\u00f3n en los siguientes 15 minutos.<\/p>\n Esto hace que “sea m\u00e1s probable que \u00e9l o ella ejecute el paquete sin realizar ning\u00fan tipo de seguridad o incluso revisi\u00f3n del c\u00f3digo fuente primero”, dijo Zanki, y agreg\u00f3 que “eso garantiza a los actores maliciosos detr\u00e1s de esta campa\u00f1a que el malware incorporado se ejecutar\u00e1 en el sistema del desarrollador”.<\/p>\n Algunas de las pruebas antes mencionadas afirmaban ser una entrevista t\u00e9cnica para instituciones financieras como Capital One y Rookery Capital Limited, lo que subraya c\u00f3mo los actores de amenazas se hacen pasar por empresas leg\u00edtimas del sector para llevar a cabo la operaci\u00f3n.<\/p>\n Actualmente no est\u00e1 claro cu\u00e1n extendidas son estas campa\u00f1as, aunque los objetivos potenciales son detectados y contactados usando LinkedIn, como tambi\u00e9n destac\u00f3 recientemente Mandiant, propiedad de Google.<\/p>\n “Despu\u00e9s de una conversaci\u00f3n de chat inicial, el atacante envi\u00f3 un archivo ZIP que conten\u00eda el malware COVERTCATCH disfrazado de un desaf\u00edo de codificaci\u00f3n Python, que comprometi\u00f3 el sistema macOS del usuario al descargar un malware de segunda etapa que persisti\u00f3 a trav\u00e9s de Launch Agents y Launch Daemons”, dijo la compa\u00f1\u00eda.<\/p>\n El desarrollo se produce cuando la empresa de ciberseguridad Genians revel\u00f3<\/a> que el actor de amenazas norcoreano con nombre en c\u00f3digo Konni est\u00e1 intensificando sus ataques contra Rusia y Corea del Sur mediante el empleo de se\u00f1uelos de phishing que conducen al despliegue de AsyncRAT, con superposiciones identificadas con una campa\u00f1a con nombre en c\u00f3digo CLOUD#REVERSER (tambi\u00e9n conocida como puNK-002).<\/p>\n Algunos de estos ataques tambi\u00e9n implican la propagaci\u00f3n de un nuevo malware llamado CURK\u00d3N<\/a>un archivo de acceso directo de Windows (LNK) que sirve como descargador para una versi\u00f3n de AutoIt de Lilith RAT. La actividad se ha vinculado a un subgrupo rastreado como puNK-003, seg\u00fan S2W.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/Desarrolladores-tengan-cuidado-el-grupo-Lazarus-utiliza-pruebas-de-codificacion.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n