{"id":168270,"date":"2022-05-24T19:43:42","date_gmt":"2022-05-24T19:43:42","guid":{"rendered":"https:\/\/teknomers.com\/es\/el-popular-paquete-pypi-ctx-y-la-biblioteca-php-phpass-secuestrados-para-robar-claves-de-aws\/"},"modified":"2022-05-24T19:43:47","modified_gmt":"2022-05-24T19:43:47","slug":"el-popular-paquete-pypi-ctx-y-la-biblioteca-php-phpass-secuestrados-para-robar-claves-de-aws","status":"publish","type":"post","link":"https:\/\/teknomers.com\/es\/el-popular-paquete-pypi-ctx-y-la-biblioteca-php-phpass-secuestrados-para-robar-claves-de-aws\/","title":{"rendered":"El popular paquete PyPI ‘ctx’ y la biblioteca PHP ‘phpass’ secuestrados para robar claves de AWS"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Se han descubierto dos paquetes troyanos de Python y PHP en lo que es otra instancia de un ataque a la cadena de suministro de software dirigido al ecosistema de c\u00f3digo abierto.<\/p>\n

Uno de los paquetes en cuesti\u00f3n es “ctx”, un m\u00f3dulo de Python disponible en el repositorio de PyPi. El otro implica “phpass”, un paquete de PHP que se ha bifurcado en GitHub para distribuir una actualizaci\u00f3n no autorizada.<\/p>\n

“En ambos casos, el atacante parece haberse apoderado de paquetes que no se han actualizado en mucho tiempo”, el SANS Internet Storm Center (ISC) dicho<\/a>uno de cuyos manejadores de incidentes voluntarios, Yee Ching, analiz\u00f3 el paquete ctx.<\/p>\n

Vale la pena se\u00f1alar que ctx se public\u00f3 por \u00faltima vez en PyPi el 19 de diciembre de 2014. Por otro lado, phpass no ha recibido una actualizaci\u00f3n desde que se carg\u00f3 en Packagist el 31 de agosto de 2012.<\/p>\n

El paquete Python malicioso, que se envi\u00f3 a PyPi el 21 de mayo de 2022, ha sido eliminado del repositorio<\/a>pero la biblioteca PHP sigue siendo disponible<\/a> en GitHub.<\/p>\n

\"La<\/a><\/div>\n

En ambos casos, las modificaciones est\u00e1n dise\u00f1adas para filtrar las credenciales de AWS a una URL de Heroku denominada ‘anti-theft-web.herokuapp[.]com.’ “Parece que el perpetrador est\u00e1 tratando de obtener todas las variables de entorno, codificarlas en Base64 y enviar los datos a una aplicaci\u00f3n web bajo el control del perpetrador”, dijo Ching.<\/p>\n

Se sospecha que el atacante logr\u00f3 obtener acceso no autorizado a la cuenta del mantenedor para publicar la nueva versi\u00f3n de ctx. Una investigaci\u00f3n adicional ha revelado que el actor de amenazas registr\u00f3 el dominio vencido utilizado por el mantenedor original el 14 de mayo de 2022.<\/p>\n\n\n\n\n
\"Paquete<\/td>\n<\/tr>\n
Comando diff de Linux ejecutado en el paquete ctx 0.1.2 original y el “nuevo” paquete ctx 0.1.2<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

“Con el control sobre el nombre de dominio original, crear un correo electr\u00f3nico correspondiente para recibir un correo electr\u00f3nico de restablecimiento de contrase\u00f1a ser\u00eda trivial”, agreg\u00f3 Ching. “Despu\u00e9s de obtener acceso a la cuenta, el perpetrador podr\u00eda eliminar el paquete anterior y cargar las nuevas versiones con puerta trasera”.<\/p>\n

Coincidentemente, el 10 de mayo de 2022, el consultor de seguridad Lance Vick revelado<\/a> c\u00f3mo es posible comprar dominios de correo electr\u00f3nico de mantenimiento de NPM vencidos y luego usarlos para volver a crear correos electr\u00f3nicos de mantenimiento y tomar el control de los paquetes.<\/p>\n

\"Paquete<\/div>\n

Es m\u00e1s, un an\u00e1lisis de metadatos<\/a> de 1,63 millones de paquetes JavaScript NPM realizados por acad\u00e9micos de Microsoft y la Universidad Estatal de Carolina del Norte el a\u00f1o pasado descubrieron 2818 direcciones de correo electr\u00f3nico de mantenimiento asociadas con dominios vencidos, lo que permiti\u00f3 a un atacante secuestrar 8494 paquetes al hacerse cargo de las cuentas NPM.<\/p>\n

“En general, cualquier nombre de dominio se puede comprar de un registrador de dominios, lo que permite al comprador conectarse a un servicio de alojamiento de correo electr\u00f3nico para obtener una direcci\u00f3n de correo electr\u00f3nico personal”, dijeron los investigadores. “Un atacante puede secuestrar el dominio de un usuario para apoderarse de una cuenta asociada con esa direcci\u00f3n de correo electr\u00f3nico”.<\/p>\n

\"La<\/a><\/div>\n

Si el dominio de un mantenedor caduca, el actor de amenazas puede adquirir el dominio y alterar el intercambio de correo DNS (MX<\/a>) registros para apropiarse de la direcci\u00f3n de correo electr\u00f3nico del mantenedor.<\/p>\n

“Parece que el compromiso de phpass ocurri\u00f3 porque el propietario de la fuente del paquete – ‘hautelook’ elimin\u00f3 su cuenta y luego el atacante reclam\u00f3 el nombre de usuario”, investigador Somdev Sangwan dicho<\/a> en una serie de tuits, detallando lo que se llama un secuestro de repositorio<\/a> ataque.<\/p>\n

Los repositorios p\u00fablicos de c\u00f3digo fuente abierto como Maven, NPM, Packages, PyPi y RubyGems son una parte fundamental de la cadena de suministro de software en la que muchas organizaciones conf\u00edan para desarrollar aplicaciones.<\/p>\n

Por otro lado, esto tambi\u00e9n los ha convertido en un objetivo atractivo para una variedad de adversarios que buscan distribuir malware.<\/p>\n

Esto incluye typosquatting, confusi\u00f3n de dependencias y ataques de apropiaci\u00f3n de cuentas, el \u00faltimo de los cuales podr\u00eda aprovecharse para enviar versiones fraudulentas de paquetes leg\u00edtimos, lo que lleva a compromisos generalizados de la cadena de suministro. <\/p>\n

“Los desarrolladores conf\u00edan ciegamente en los repositorios e instalan paquetes de estas fuentes, suponiendo que sean seguros”, dijo el a\u00f1o pasado la firma DevSecOps JFrog, y agreg\u00f3 c\u00f3mo los actores de amenazas est\u00e1n usando los repositorios como un vector de distribuci\u00f3n de malware y lanzan ataques exitosos tanto en el desarrollador como en CI\/CD. m\u00e1quinas en la tuber\u00eda.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-es-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Se han descubierto dos paquetes troyanos de Python y PHP en lo que es otra instancia de un<\/p>\n","protected":false},"author":1,"featured_media":168271,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[9],"tags":[4657,4656,4661,26662,17425,42929,4664,69531,4662,4668,4667,4654,4658,4659,4653,4655,1239,18,41109,69532,3243,4663,69530,26365,61117,4666,4665,4660],"class_list":["post-168270","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia","tag-actualizaciones-ciberneticas","tag-actualizaciones-de-seguridad-cibernetica","tag-ataques-ciberneticos","tag-aws","tag-biblioteca","tag-claves","tag-como-hackear","tag-ctx","tag-filtracion-de-datos","tag-la-seguridad-informatica","tag-las-noticias-de-los-hackers","tag-noticias-ciberneticas","tag-noticias-de-hackers","tag-noticias-de-pirateria","tag-noticias-de-seguridad-cibernetica","tag-noticias-de-seguridad-cibernetica-hoy","tag-paquete","tag-para","tag-php","tag-phpass","tag-popular","tag-programa-malicioso-ransomware","tag-pypi","tag-robar","tag-secuestrados","tag-seguridad-de-informacion","tag-seguridad-de-la-red","tag-vulnerabilidad-de-software"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/posts\/168270","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/comments?post=168270"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/posts\/168270\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/media\/168271"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/media?parent=168270"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/categories?post=168270"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/tags?post=168270"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}