En otra campa\u00f1a dirigida al repositorio de Python Package Index (PyPI), se encontraron seis paquetes maliciosos que desplegaban ladrones de informaci\u00f3n en los sistemas de los desarrolladores.<\/p>\n
Los paquetes ahora eliminados, que fueron descubierto<\/a> por Phylum entre el 22 y el 31 de diciembre de 2022, incluyen pyrologin, easytimestamp, discorder, discord-dev, style.py y pythonstyles.<\/p>\n El c\u00f3digo malicioso, como ocurre cada vez m\u00e1s, est\u00e1 oculto en el script de instalaci\u00f3n (setup.py) de estas bibliotecas, lo que significa que ejecutar un comando “pip install” es suficiente para activar el proceso de implementaci\u00f3n de malware.<\/p>\n El malware est\u00e1 dise\u00f1ado para iniciar un script de PowerShell que recupera un archivo ZIP, instalar dependencias invasivas como pynput, pydirectinput y pyscreenshot, y ejecutar un script de Visual Basic extra\u00eddo del archivo para ejecutar m\u00e1s c\u00f3digo de PowerShell.<\/p>\n “Estas bibliotecas permiten controlar y monitorear la entrada del mouse y el teclado y capturar los contenidos de la pantalla”, dijo Phylum en un informe t\u00e9cnico publicado la semana pasada.<\/p>\n Los paquetes maliciosos tambi\u00e9n son capaces de recolectar cookies, contrase\u00f1as guardadas y datos de billetera de criptomonedas de los navegadores Google Chrome, Mozilla Firefox, Microsoft Edge, Brave, Opera, Opera GX y Vivaldi.<\/p>\n Pero en lo que es una t\u00e9cnica novedosa adoptada por el actor de amenazas, el ataque intenta adem\u00e1s descargar e instalar envuelto en nubes<\/a>una herramienta de l\u00ednea de comandos para T\u00fanel de la llamarada de la nube<\/a>que ofrece una “forma segura de conectar sus recursos a Cloudflare sin una direcci\u00f3n IP enrutable p\u00fablicamente”.<\/p>\n La idea, en pocas palabras, es aprovechar el t\u00fanel para acceder de forma remota a la m\u00e1quina comprometida a trav\u00e9s de una aplicaci\u00f3n basada en Flask, que alberga un troyano denominado xrat (pero con el nombre en c\u00f3digo poweRAT de Phylum).<\/p>\n El malware permite que el actor de amenazas ejecute comandos de shell, descargue archivos remotos y los ejecute en el host, extraiga archivos y directorios completos, e incluso ejecute c\u00f3digo python arbitrario.<\/p>\n La aplicaci\u00f3n Flask tambi\u00e9n admite una funci\u00f3n “en vivo” que utiliza JavaScript para escuchar los eventos de clic del mouse y el teclado y capturar capturas de pantalla del sistema para capturar cualquier informaci\u00f3n confidencial ingresada por la v\u00edctima.<\/p>\n “Esta cosa es como una RAT con esteroides”, dijo Phylum. “Tiene todas las capacidades RAT b\u00e1sicas integradas en una GUI web agradable con una capacidad de escritorio remoto rudimentaria y un ladr\u00f3n para arrancar”.<\/p>\n Los hallazgos son otra ventana a la forma en que los atacantes evolucionan continuamente sus t\u00e1cticas para apuntar a los repositorios de paquetes de c\u00f3digo abierto y realizar ataques a la cadena de suministro.<\/p>\n A fines del mes pasado, Phylum tambi\u00e9n revelado<\/a> una serie de m\u00f3dulos npm fraudulentos que se encontraron extrayendo variables de entorno de los sistemas instalados.<\/p>\n <\/p>\n