Dans une autre campagne ciblant le r\u00e9f\u00e9rentiel Python Package Index (PyPI), six packages malveillants ont \u00e9t\u00e9 d\u00e9couverts d\u00e9ployant des voleurs d’informations sur les syst\u00e8mes des d\u00e9veloppeurs.<\/p>\n
Les packages d\u00e9sormais supprim\u00e9s, qui \u00e9taient d\u00e9couvert<\/a> par Phylum entre le 22 d\u00e9cembre et le 31 d\u00e9cembre 2022, incluent pyrologin, easytimestamp, discorder, discord-dev, style.py et pythonstyles.<\/p>\n Le code malveillant, comme c’est de plus en plus le cas, est dissimul\u00e9 dans le script d’installation (setup.py) de ces biblioth\u00e8ques, ce qui signifie qu’il suffit d’ex\u00e9cuter une commande “pip install” pour activer le processus de d\u00e9ploiement du logiciel malveillant.<\/p>\n Le logiciel malveillant est con\u00e7u pour lancer un script PowerShell qui r\u00e9cup\u00e8re un fichier d’archive ZIP, installe des d\u00e9pendances invasives telles que pynput, pydirectinput et pyscreenshot, et ex\u00e9cute un script Visual Basic extrait de l’archive pour ex\u00e9cuter davantage de code PowerShell.<\/p>\n “Ces biblioth\u00e8ques permettent de contr\u00f4ler et de surveiller les entr\u00e9es de la souris et du clavier et de capturer le contenu de l’\u00e9cran”, a d\u00e9clar\u00e9 Phylum dans un rapport technique publi\u00e9 la semaine derni\u00e8re.<\/p>\n Les packages malveillants sont \u00e9galement capables de collecter des cookies, des mots de passe enregistr\u00e9s et des donn\u00e9es de portefeuille de crypto-monnaie \u00e0 partir des navigateurs Google Chrome, Mozilla Firefox, Microsoft Edge, Brave, Opera, Opera GX et Vivaldi.<\/p>\n Mais dans ce qui est une nouvelle technique adopt\u00e9e par l’acteur de la menace, l’attaque tente en outre de t\u00e9l\u00e9charger et d’installer nuageux<\/a>un outil en ligne de commande pour Tunnel Cloudflare<\/a>qui offre un “moyen s\u00e9curis\u00e9 de connecter vos ressources \u00e0 Cloudflare sans adresse IP routable publiquement”.<\/p>\n L’id\u00e9e, en un mot, est de tirer parti du tunnel pour acc\u00e9der \u00e0 distance \u00e0 la machine compromise via une application bas\u00e9e sur Flask, qui h\u00e9berge un cheval de Troie surnomm\u00e9 xrat (mais nomm\u00e9 powerRAT par Phylum).<\/p>\n Le logiciel malveillant permet \u00e0 l’auteur de la menace d’ex\u00e9cuter des commandes shell, de t\u00e9l\u00e9charger des fichiers distants et de les ex\u00e9cuter sur l’h\u00f4te, d’exfiltrer des fichiers et des r\u00e9pertoires entiers, et m\u00eame d’ex\u00e9cuter du code python arbitraire.<\/p>\n L’application Flask prend \u00e9galement en charge une fonctionnalit\u00e9 “en direct” qui utilise JavaScript pour \u00e9couter les \u00e9v\u00e9nements de clic de la souris et du clavier et capturer des captures d’\u00e9cran du syst\u00e8me afin de saisir toute information sensible saisie par la victime.<\/p>\n “Cette chose est comme un RAT sous st\u00e9ro\u00efdes”, a d\u00e9clar\u00e9 Phylum. “Il poss\u00e8de toutes les fonctionnalit\u00e9s RAT de base int\u00e9gr\u00e9es dans une interface graphique Web agr\u00e9able avec une capacit\u00e9 de bureau \u00e0 distance rudimentaire et un voleur pour d\u00e9marrer\u00a0!”<\/p>\n Les r\u00e9sultats sont une autre fen\u00eatre sur la fa\u00e7on dont les attaquants font \u00e9voluer en permanence leurs tactiques pour cibler les r\u00e9f\u00e9rentiels de packages open source et organiser des attaques de la cha\u00eene d’approvisionnement.<\/p>\n \u00c0 la fin du mois dernier, Phylum a \u00e9galement divulgu\u00e9<\/a> un certain nombre de modules npm frauduleux qui ont \u00e9t\u00e9 trouv\u00e9s en train d’exfiltrer des variables d’environnement des syst\u00e8mes install\u00e9s.<\/p>\n <\/p>\n