Se han descubierto tres paquetes adicionales de Python maliciosos en el repositorio de Package Index (PyPI) como parte de una campa\u00f1a en curso en la cadena de suministro de software malicioso llamada VMConectar<\/strong>con se\u00f1ales que apuntan a la participaci\u00f3n de actores de amenazas patrocinados por el estado de Corea del Norte.<\/p>\n El recomendaciones<\/a> provienen de ReversingLabs, que detect\u00f3 los paquetes tablediter, request-plus y requestpro.<\/p>\n VMConnect, revelado por primera vez a principios de mes por la compa\u00f1\u00eda y Sonatype, se refiere a una colecci\u00f3n de paquetes de Python que imitan herramientas populares de c\u00f3digo abierto de Python para descargar un malware desconocido de segunda etapa.<\/p>\n El \u00faltimo tramo no es diferente, ReversingLabs se\u00f1al\u00f3 que los malos actores est\u00e1n disfrazando sus paquetes y haci\u00e9ndolos parecer confiables mediante el uso de t\u00e9cnicas de typosquatting para hacerse pasar por Prettytable y Requests y confundir a los desarrolladores.<\/p>\n El nefasto c\u00f3digo dentro de tablediter est\u00e1 dise\u00f1ado para ejecutarse en un bucle de ejecuci\u00f3n interminable en el que un servidor remoto es sondeado peri\u00f3dicamente para recuperar y ejecutar una carga \u00fatil codificada en Base64. Actualmente se desconoce la naturaleza exacta de la carga \u00fatil.<\/p>\n Uno de los principales cambios introducidos en tablediter es el hecho de que ya no activa el c\u00f3digo malicioso inmediatamente despu\u00e9s de la instalaci\u00f3n del paquete para evadir la detecci\u00f3n por parte del software de seguridad.<\/p>\n “Al esperar hasta que el paquete designado sea importado y sus funciones sean llamadas por la aplicaci\u00f3n comprometida, evitan una forma com\u00fan de detecci\u00f3n basada en el comportamiento y elevan el list\u00f3n para los posibles defensores”, dijo el investigador de seguridad Karlo Zanki.<\/p>\n Los otros dos paquetes, request-plus y requestpro, incluyen la capacidad de recopilar informaci\u00f3n sobre la m\u00e1quina infectada y transmitirla a un servidor de comando y control (C2).<\/p>\n Despu\u00e9s de este paso, el servidor responde con un token, que el host infectado env\u00eda a una URL diferente en el mismo servidor C2 y, en \u00faltima instancia, recibe a cambio un m\u00f3dulo Python con doble codificaci\u00f3n y una URL de descarga.<\/p>\n Se sospecha que el m\u00f3dulo decodificado descarga la siguiente etapa del malware desde la URL proporcionada.<\/p>\n El uso de un enfoque basado en tokens para pasar desapercibido refleja una campa\u00f1a de npm que Phylum revel\u00f3 en junio y que desde entonces se ha asociado con actores norcoreanos. GitHub, propiedad de Microsoft, atribuy\u00f3 los ataques a un actor de amenazas al que llama Jade Sleet, tambi\u00e9n conocido como TraderTraitor o UNC4899.<\/p>\n TraderTraitor es una de las armas cibern\u00e9ticas m\u00e1s destacadas de Corea del Norte en sus esquemas de pirater\u00eda con fines de lucro, y tiene una larga y exitosa historia de apuntar a empresas de criptomonedas y otros sectores para obtener ganancias financieras.<\/p>\n Las posibles conexiones plantean la posibilidad de que se trate de una t\u00e1ctica com\u00fan que los adversarios est\u00e9n adoptando para entregar selectivamente un malware de segunda etapa en funci\u00f3n de ciertos criterios de filtrado.<\/p>\n Los v\u00ednculos con Corea del Norte tambi\u00e9n se ven corroborados por el hecho de que se han descubierto superposiciones de infraestructura entre la campa\u00f1a de ingenier\u00eda npm y el hackeo JumpCloud de junio 2023<\/a>.<\/p>\n Es m\u00e1s, ReversingLabs dijo que encontr\u00f3 un paquete de Python llamado py_QRcode que contiene una funcionalidad maliciosa muy similar a la que se encuentra en el paquete VMConnect.<\/p>\n Se dice que py_QRcode se emple\u00f3 como punto de partida de una cadena de ataque separada dirigida a desarrolladores de negocios de intercambio de criptomonedas a finales de mayo de 2023. JPCERT\/CC, el mes pasado, lo atribuy\u00f3 a otra actividad norcoreana con nombre en c\u00f3digo SnatchCrypto (tambi\u00e9n conocido como Criptom\u00edmico o Contrase\u00f1a peligrosa<\/a>).<\/p>\n “Este malware Python se ejecuta en entornos Windows, macOS y Linux, verifica la informaci\u00f3n del sistema operativo y cambia el flujo de infecci\u00f3n dependiendo de ello”, la agencia dicho<\/a>describiendo al actor como \u00fanico para apuntar al entorno de desarrollador con una variedad de plataformas.<\/p>\n Otro aspecto destacable es que los ataques contra sistemas macOS culminaron con el despliegue de JokerSpy, una novedosa puerta trasera que sali\u00f3 a la luz por primera vez en junio de 2023.<\/p>\n Eso no es todo. En junio de 2023, la empresa de ciberseguridad SentinelOne detall\u00f3 otro malware denominado Registro QR<\/a> que viene con una funcionalidad id\u00e9ntica a la de py_QRcode y hace referencia al dominio www.git-hub[.]yo, que tambi\u00e9n se ha visto en relaci\u00f3n con una infecci\u00f3n de JokerSpy.<\/p>\n “Las intrusiones de JokerSpy revelan un actor de amenazas con la capacidad de escribir malware funcional en varios lenguajes diferentes (Python, Java y Swift) y apuntar a m\u00faltiples plataformas de sistemas operativos”, dijo el investigador de seguridad Phil Stokes. anotado<\/a> En el momento.<\/p>\n El investigador de ciberseguridad Mauro Eldritch, quien fue el primero en detectar el malware QRLog, dicho<\/a> Hay evidencia que sugiere que la aplicaci\u00f3n generadora de c\u00f3digos QR con trampa explosiva es obra de un adversario conocido como Labyrinth Chollima, que es un subgrupo dentro del infame Grupo Lazarus.<\/p>\n “Este es s\u00f3lo otro de una serie de ataques maliciosos dirigidos a usuarios del repositorio PyPI”, dijo Zanki, y agreg\u00f3 que “los actores de amenazas contin\u00faan utilizando el repositorio Python Package Index (PyPI) como punto de distribuci\u00f3n para su malware”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/European-Bank-Customers-Targeted-in-SpyNote-Android-Trojan-Campaign.png\")
<\/a><\/center><\/section>\nUna compleja red de conexiones que conducen a Corea del Norte<\/h2>\n
![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/China039s-APT31-Suspected-in-Attacks-on-Air-Gapped-Systems-in-Eastern.gif\")
<\/a><\/center><\/section>\n