Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert deux packages malveillants dans le r\u00e9f\u00e9rentiel Python Package Index (PyPI) qui exploitaient une technique appel\u00e9e chargement lat\u00e9ral de DLL pour contourner la d\u00e9tection par les logiciels de s\u00e9curit\u00e9 et ex\u00e9cuter du code malveillant.<\/p>\n
Les paquets, nomm\u00e9s NP6HelperHttptest<\/strong> et NP6HelperHttper<\/strong>ont \u00e9t\u00e9 chacun t\u00e9l\u00e9charg\u00e9s 537<\/a> et 166 fois<\/a>respectivement, avant leur retrait.<\/p>\n “La derni\u00e8re d\u00e9couverte est un exemple de chargement lat\u00e9ral de DLL ex\u00e9cut\u00e9 par un package open source qui sugg\u00e8re que la port\u00e9e des menaces sur la cha\u00eene d’approvisionnement logicielle est en expansion”, Petar Kirhmajer, chercheur \u00e0 ReversingLabs. dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Le nom NP6 est remarquable car il fait r\u00e9f\u00e9rence \u00e0 une solution l\u00e9gitime d’automatisation du marketing con\u00e7ue par ChapsVision. En particulier, les faux packages sont des typosquats de NP6HelperHttp et NP6HelperConfig, qui sont des outils d’aide publi\u00e9s par l’un des employ\u00e9s de ChapsVision sur PyPI.<\/p>\n En d\u2019autres termes, l\u2019objectif est d\u2019inciter les d\u00e9veloppeurs recherchant NP6HelperHttp et NP6HelperConfig \u00e0 t\u00e9l\u00e9charger leurs homologues malveillants.<\/p>\n Les deux biblioth\u00e8ques contiennent un script setup.py con\u00e7u pour t\u00e9l\u00e9charger deux fichiers, un v\u00e9ritable ex\u00e9cutable de Kingsoft Corporation (\u00ab ComServer.exe \u00bb), bas\u00e9 \u00e0 P\u00e9kin, qui est vuln\u00e9rable au chargement lat\u00e9ral de la DLL et \u00e0 la DLL malveillante \u00e0 charger lat\u00e9ralement. (“dgdeskband64.dll”).<\/p>\n En chargeant lat\u00e9ralement la DLL, l’objectif est d’\u00e9viter la d\u00e9tection du code malveillant, comme observ\u00e9 pr\u00e9c\u00e9demment dans le cas d’un package npm appel\u00e9 aabquerys qui exploitait \u00e9galement la m\u00eame technique pour ex\u00e9cuter du code capable de d\u00e9ployer un cheval de Troie d’acc\u00e8s \u00e0 distance.<\/p>\n La DLL, quant \u00e0 elle, atteint un domaine contr\u00f4l\u00e9 par un attaquant (\u00ab us.archive-ubuntu[.]top”) pour r\u00e9cup\u00e9rer un fichier GIF qui, en r\u00e9alit\u00e9, est un morceau de shellcode pour une Cobalt Strike Beacon, une bo\u00eete \u00e0 outils de post-exploitation utilis\u00e9e pour le red teaming.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/De-nouveaux-packages-PyPI-malveillants-detectes-a-laide-de-tactiques.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n