Se ha descubierto que un paquete malicioso de Python cargado en Python Package Index (PyPI) contiene un ladr\u00f3n de informaci\u00f3n con todas las funciones y un troyano de acceso remoto.<\/p>\n
El paquete, llamado tonto del color<\/strong>fue identificado por el equipo de inteligencia de amenazas cibern\u00e9ticas de Kroll, y la compa\u00f1\u00eda llam\u00f3 al malware Dalt\u00f3nico<\/strong>.<\/p>\n “El malware ‘Colour-Blind’ apunta a la democratizaci\u00f3n del delito cibern\u00e9tico que podr\u00eda conducir a un panorama de amenazas intensificado, ya que se pueden generar m\u00faltiples variantes a partir del c\u00f3digo procedente de otros”, los investigadores de Kroll, Dave Truman y George Glass. dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n colourfool, al igual que otros m\u00f3dulos falsos de Python descubiertos en los \u00faltimos meses, oculta su c\u00f3digo malicioso en el script de instalaci\u00f3n, que apunta a una carga \u00fatil de archivo ZIP alojada en Discord.<\/p>\n El archivo contiene un script de Python (code.py) que viene con diferentes m\u00f3dulos dise\u00f1ados para registrar pulsaciones de teclas, robar cookies e incluso desactivar el software de seguridad.<\/p>\n El malware, adem\u00e1s de realizar comprobaciones de evasi\u00f3n de defensa para determinar si se est\u00e1 ejecutando en un sandbox, establece persistencia mediante un script de Visual Basic y utiliza transferencia[.]sh para la exfiltraci\u00f3n de datos.<\/p>\n “Como m\u00e9todo de control remoto, el malware inicia una aplicaci\u00f3n web Flask, que hace accesible a Internet a trav\u00e9s de la utilidad de t\u00fanel inverso de Cloudflare ‘cloudflared’, sin pasar por las reglas de firewall entrantes”, dijeron los investigadores.<\/p>\n El uso de los t\u00faneles de Cloudflare refleja otra campa\u00f1a revelada por Phylum el mes pasado que utiliz\u00f3 seis paquetes fraudulentos para distribuir un ladr\u00f3n-cum-RAT denominado powerRAT.<\/p>\n El troyano tiene muchas funciones y es capaz de recopilar contrase\u00f1as, finalizar aplicaciones, tomar capturas de pantalla, registrar pulsaciones de teclas, abrir p\u00e1ginas web arbitrarias en un navegador, ejecutar comandos, capturar datos de billetera criptogr\u00e1fica e incluso espiar a las v\u00edctimas a trav\u00e9s de la c\u00e1mara web.<\/p>\n Los hallazgos se producen cuando los actores de amenazas aprovechan el c\u00f3digo fuente asociado con el ladr\u00f3n W4SP para generar versiones de imitaci\u00f3n que son repartido<\/a> a trav\u00e9s de paquetes de Python como ratebypass, imagesolverpy y 3m-promo-gen-api.<\/p>\n Es m\u00e1s, Phylum descubierto<\/a> tres paquetes m\u00e1s, llamados pycolured, pycolurate y colurful, que se han utilizado para entregar un troyano de acceso remoto basado en Go denominado Chispa – chispear<\/a>.<\/p>\n Adem\u00e1s de los ataques dirigidos a PyPI, la empresa de seguridad de la cadena de suministro de software tambi\u00e9n detalles revelados<\/a> de una campa\u00f1a de ataque masivo en la que actores de amenazas desconocidos publicaron hasta 1138 paquetes para implementar un ejecutable de Rust, que luego se usa para colocar archivos binarios de malware adicionales.<\/p>\n “La propuesta de riesgo\/recompensa para los atacantes vale la pena el tiempo y el esfuerzo relativamente min\u00fasculos, si pueden aterrizar una ballena con una billetera criptogr\u00e1fica gorda”, el equipo de investigaci\u00f3n de Phylum dicho<\/a>.<\/p>\n “Y la p\u00e9rdida de unos pocos bitcoins palidece en comparaci\u00f3n con el da\u00f1o potencial de la p\u00e9rdida de las claves SSH de un desarrollador en una gran empresa como una corporaci\u00f3n o un gobierno”.<\/p>\n <\/p>\n![\"Paquete](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/03\/1677792087_582_Los-expertos-identifican-un-ladron-de-informacion-y-un-troyano.png\" "\\"Paquete")
<\/div>\n