Cuatro paquetes no autorizados diferentes en el \u00edndice de paquetes de Python (PyPI<\/b>) han llevado a cabo una serie de acciones maliciosas, incluida la eliminaci\u00f3n de malware, la eliminaci\u00f3n de la utilidad netstat y la manipulaci\u00f3n del archivo de claves autorizadas SSH.<\/p>\n
Los paquetes en cuesti\u00f3n son aptx<\/a>, bingchilling2<\/a>, htops<\/a>y tkint3rs<\/a>, todos los cuales se descargaron colectivamente unas 450 veces antes de que se eliminaran. Mientras que aptx es un intento de hacerse pasar por Qualcomm c\u00f3dec de audio muy popular<\/a> del mismo nombre, httops y tkint3rs son typosquats de https y tkinter, respectivamente.<\/p>\n “La mayor\u00eda de estos paquetes ten\u00edan nombres bien pensados, para confundir a la gente a prop\u00f3sito”, el investigador de seguridad y periodista Ax Sharma. dicho<\/a>.<\/p>\n Un an\u00e1lisis del c\u00f3digo malicioso inyectado en el script de instalaci\u00f3n revela la presencia de un c\u00f3digo ofuscado Carga \u00fatil de Meterpreter<\/a> eso est\u00e1 disfrazado de “pepita<\/a>“un instalador de paquetes leg\u00edtimo para Python, y se puede aprovechar para obtener acceso de shell al host infectado.<\/p>\n Tambi\u00e9n se est\u00e1n tomando medidas para eliminar el netstat<\/a> utilidad de l\u00ednea de comandos que se usa para monitorear la configuraci\u00f3n y la actividad de la red, as\u00ed como para modificar la Archivo .ssh\/authorized_keys<\/a> para configurar una puerta trasera SSH para el acceso remoto.<\/p>\n “Ahora bien, este es un ejemplo elegante pero del mundo real de malware da\u00f1ino que se abri\u00f3 paso con \u00e9xito en el ecosistema de c\u00f3digo abierto”, se\u00f1al\u00f3 Sharma.<\/p>\n Pero en una se\u00f1al de que el malware que se cuela en los repositorios de software es una amenaza recurrente, Fortinet FortiGuard Labs descubri\u00f3 cinco paquetes diferentes: web3-esencial<\/a>, 3m-promo-gen-api<\/a>, ai-solver-gen<\/a>, monedas hipixel<\/a>, httpxsolicitudv2<\/a>y httpxsolicitante<\/a> – que son dise\u00f1ado<\/a> a cosechar y exfiltrar<\/a> informaci\u00f3n sensible.<\/p>\n Las revelaciones se producen cuando ReversingLabs arroja luz sobre un m\u00f3dulo npm malicioso llamado aabquerys que est\u00e1 dise\u00f1ado para hacerse pasar por el paquete abquery leg\u00edtimo para enga\u00f1ar a los desarrolladores para que lo descarguen.<\/p>\n El c\u00f3digo JavaScript ofuscado, por su parte, viene con capacidades para recuperar un ejecutable de segunda etapa desde un servidor remoto que, a su vez, contiene un proxy binario de Avast (wsc_proxy.exe<\/a>) que se sabe que es vulnerable a Carga lateral de DLL<\/a> ataques<\/p>\n Esto permite que el actor de amenazas invoque una biblioteca maliciosa que est\u00e1 dise\u00f1ada para obtener un componente de tercera etapa, Demon.bin, desde un servidor de comando y control (C2).<\/p>\n “Demon.bin es un agente malicioso con funcionalidades t\u00edpicas de RAT (troyano de acceso remoto) que se gener\u00f3 utilizando un marco de comando y control de c\u00f3digo abierto, posterior a la explotaci\u00f3n llamado Estragos<\/a>“, Lucija Valenti\u0107, investigadora de ReversingLabs dicho<\/a>.<\/p>\n Adem\u00e1s, se dice que el autor de aabquerys public\u00f3 m\u00faltiples versiones de otros dos paquetes llamados aabquery y nvm_jquery que se sospecha que son las primeras iteraciones de aabquerys.<\/p>\n Havoc est\u00e1 lejos de ser el \u00fanico marco de explotaci\u00f3n de C2 detectado en la naturaleza, ya que los actores criminales aprovechan suites personalizadas como Manjusaka, Covenant, Merlin y Empire en campa\u00f1as de malware.<\/p>\n Los hallazgos tambi\u00e9n subrayan la creciente riesgo<\/a> de paquetes nefastos<\/a> al acecho en repositorios de c\u00f3digo abierto como npm y PyPi, que pueden tener un impacto severo en la cadena de suministro de software.<\/p>\n <\/p>\n![\"\u00cdndice](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/02\/1676056541_917_Investigadores-descubren-codigo-malicioso-ofuscado-en-paquetes-PyPI-Python.png\" "\\"\u00cdndice")
<\/div>\n![\"\u00cdndice](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/02\/1676056542_681_Investigadores-descubren-codigo-malicioso-ofuscado-en-paquetes-PyPI-Python.png\" "\\"\u00cdndice")
<\/div>\n