Les acteurs de la menace ont publi\u00e9 une nouvelle s\u00e9rie de packages malveillants dans Python Package Index (PyPI) dans le but de diffuser des logiciels malveillants voleurs d’informations sur les machines de d\u00e9veloppement compromises.<\/p>\n
Fait int\u00e9ressant, alors que le malware porte une vari\u00e9t\u00e9 de noms comme ANGEL Stealer, Celestial Stealer, Fade Stealer, Leaf $tealer, PURE Stealer, Satan Stealer et @skid Stealer, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Phylum a d\u00e9couvert qu’ils \u00e9taient tous des copies de W4SP Stealer.<\/p>\n
W4SP Stealer fonctionne principalement pour siphonner les donn\u00e9es des utilisateurs, y compris les informations d’identification, les portefeuilles de crypto-monnaie, les jetons Discord et d’autres fichiers d’int\u00e9r\u00eat. Il est cr\u00e9\u00e9 et publi\u00e9 par un acteur qui s’appelle BillyV3, BillyTheGoat et billythegoat356.<\/p>\n
“Pour une raison quelconque, chaque d\u00e9ploiement semble avoir simplement essay\u00e9 de rechercher\/remplacer les r\u00e9f\u00e9rences W4SP en \u00e9change d’un autre nom apparemment arbitraire”, ont d\u00e9clar\u00e9 les chercheurs. m’a dit<\/a> dans un rapport publi\u00e9 plus t\u00f4t cette semaine.<\/p>\n Les 16 modules malveillants sont les suivants\u00a0: modulesecurity, informmodule, chazz, randomtime, proxygeneratorbil, easycordey, easycordeyy, tomproxies, sys-ej, py4sync, infosys, sysuptoer, nowsys, upamonkws, captchaboy et proxybooster.<\/p>\n La campagne de distribution de W4SP Stealer a gagn\u00e9 du terrain vers octobre 2022, bien qu’il semble qu’elle ait commenc\u00e9 d\u00e8s le 25 ao\u00fbt 2022. Depuis lors, des dizaines de faux paquets suppl\u00e9mentaires contenant Voleur W4SP<\/a> ont \u00e9t\u00e9 publi\u00e9s sur PyPI par les acteurs de la menace persistante.<\/p>\n La derni\u00e8re it\u00e9ration de l’activit\u00e9, pour ce qu’elle vaut, ne rend pas \u00e9vident de cacher ses intentions n\u00e9fastes, sauf dans le cas de chazz, qui exploite le package pour t\u00e9l\u00e9charger le logiciel malveillant Leaf $tealer obscurci h\u00e9berg\u00e9 sur le klgrth[.]service de collage io.<\/p>\n Il convient de noter que les versions pr\u00e9c\u00e9dentes des cha\u00eenes d’attaque ont \u00e9galement \u00e9t\u00e9 rep\u00e9r\u00e9es en train de r\u00e9cup\u00e9rer le code Python de la prochaine \u00e9tape directement \u00e0 partir d’un r\u00e9f\u00e9rentiel GitHub public qui supprime ensuite le voleur d’informations d’identification.<\/p>\n La mont\u00e9e en puissance de nouvelles variantes de copie concorde avec le retrait par GitHub du r\u00e9f\u00e9rentiel qui contenait le code source original de W4SP Stealer, indiquant que les cybercriminels probablement non affili\u00e9s \u00e0 l’op\u00e9ration militarisent \u00e9galement le malware pour attaquer les utilisateurs de PyPI.<\/p>\n “Les \u00e9cosyst\u00e8mes open source tels que PyPI, NPM, etc. sont d’\u00e9normes cibles faciles pour ces types d’acteurs sur lesquels essayer de d\u00e9ployer ce type de malware”, ont d\u00e9clar\u00e9 les chercheurs. Leurs tentatives deviendront seulement plus fr\u00e9quentes, plus persistantes et plus sophistiqu\u00e9es.”<\/p>\n L’entreprise de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement en logiciels, qui onglets gard\u00e9s<\/a> sur la cha\u00eene Discord de l’acteur mena\u00e7ant, a en outre not\u00e9 qu’un paquet pr\u00e9c\u00e9demment signal\u00e9 sous le nom de pystyle<\/a> a \u00e9t\u00e9 trojanis\u00e9 par BillyTheGoat pour distribuer le voleur.<\/p>\n Le module a non seulement accumul\u00e9 par des milliers de t\u00e9l\u00e9chargements<\/a> chaque mois, mais a \u00e9galement commenc\u00e9 comme un utilitaire inoffensif en septembre 2021 pour aider les utilisateurs \u00e0 styliser la sortie de la console. Les modifications malveillantes ont \u00e9t\u00e9 introduites dans les versions 2.1 et 2.2 publi\u00e9es le 28 octobre 2022.<\/p>\n Ces deux versions, qui \u00e9taient en direct sur PyPI pendant environ une heure avant d’\u00eatre retir\u00e9es, auraient obtenu 400 t\u00e9l\u00e9chargements, a d\u00e9clar\u00e9 BillyTheGoat \u00e0 Phylum dans une “correspondance non sollicit\u00e9e”.<\/p>\n “Ce n’est pas parce qu’un paquet est b\u00e9nin aujourd’hui et qu’il a montr\u00e9 une histoire d’\u00eatre b\u00e9nin pendant des ann\u00e9es qu’il le restera”, ont d\u00e9clar\u00e9 les chercheurs. mis en garde<\/a>. “Les acteurs de la menace ont fait preuve d’une patience incroyable dans la cr\u00e9ation de packages l\u00e9gitimes, pour les empoisonner avec des logiciels malveillants une fois qu’ils sont devenus suffisamment populaires.”<\/p>\n <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEiFnQCqFUEdZwz09FePR3hG7AgLONIkxkHQShYlYG9sMAfmFEby7X_H70pQ-9LE4EGZ23DtteXmqkaRJtbEWD3LgdJDEQS_GzBo6ugwqRwVEo_kbRN9E1kruaJrfiBDjY0e2mRjaHuWU1gkUzsLRVbvt0IMXMhc3P1YIy9M0fvNOrWDRwsyC7dkMcnC1A\/s728-e365-rj\/welcome-728.png\")
<\/a><\/center><\/div>\n