Quatre packages malveillants diff\u00e9rents dans Python Package Index (APIPy<\/b>) ont \u00e9t\u00e9 trouv\u00e9s pour effectuer un certain nombre d’actions malveillantes, y compris la suppression de logiciels malveillants, la suppression de l’utilitaire netstat et la manipulation du fichier SSH authorized_keys.<\/p>\n
Les colis en question sont aptx<\/a>, bingchilling2<\/a>, httops<\/a>et tkint3rs<\/a>, qui ont tous \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s collectivement environ 450 fois avant d’\u00eatre supprim\u00e9s. Alors qu’aptx est une tentative de se faire passer pour Qualcomm codec audio tr\u00e8s populaire<\/a> du m\u00eame nom, httops et tkint3rs sont respectivement des typosquats de https et tkinter.<\/p>\n “La plupart de ces paquets avaient des noms bien pens\u00e9s, pour confondre volontairement les gens”, a d\u00e9clar\u00e9 Ax Sharma, chercheur en s\u00e9curit\u00e9 et journaliste. a dit<\/a>.<\/p>\n Une analyse du code malicieux inject\u00e9 dans le script d’installation r\u00e9v\u00e8le la pr\u00e9sence d’un obfuscated Charge utile Meterpreter<\/a> c’est d\u00e9guis\u00e9 en “p\u00e9pin<\/a>“, un installateur de package l\u00e9gitime pour Python, et peut \u00eatre utilis\u00e9 pour obtenir un acc\u00e8s shell \u00e0 l’h\u00f4te infect\u00e9.<\/p>\n Des mesures sont \u00e9galement prises pour supprimer le netstat<\/a> utilitaire de ligne de commande utilis\u00e9 pour surveiller la configuration et l’activit\u00e9 du r\u00e9seau, ainsi que pour modifier le fichier .ssh\/authorized_keys<\/a> pour configurer une porte d\u00e9rob\u00e9e SSH pour l’acc\u00e8s \u00e0 distance.<\/p>\n “Maintenant, c’est un exemple \u00e9l\u00e9gant mais r\u00e9el de malware nuisible qui a r\u00e9ussi \u00e0 se frayer un chemin dans l’\u00e9cosyst\u00e8me open source”, a not\u00e9 Sharma.<\/p>\n Mais dans un signe que les logiciels malveillants se faufilant dans les r\u00e9f\u00e9rentiels de logiciels sont une menace r\u00e9currente, Fortinet FortiGuard Labs a d\u00e9couvert cinq packages diff\u00e9rents – web3-essentiel<\/a>, 3m-promo-gen-api<\/a>, ai-solveur-gen<\/a>, hypixel-coins<\/a>, httpxrequesterv2<\/a>et httpxrequester<\/a> – qui sont con\u00e7u<\/a> pour r\u00e9colter et exfiltrer<\/a> information sensible.<\/p>\n Les r\u00e9v\u00e9lations surviennent alors que ReversingLabs met en lumi\u00e8re un module npm malveillant nomm\u00e9 aabquerys qui est con\u00e7u pour se faire passer pour le package abquery l\u00e9gitime pour inciter les d\u00e9veloppeurs \u00e0 le t\u00e9l\u00e9charger.<\/p>\n Le code JavaScript obfusqu\u00e9, pour sa part, est livr\u00e9 avec des capacit\u00e9s pour r\u00e9cup\u00e9rer un ex\u00e9cutable de deuxi\u00e8me \u00e9tape \u00e0 partir d’un serveur distant, qui, \u00e0 son tour, contient un binaire proxy Avast (wsc_proxy.exe<\/a>) qui est connu pour \u00eatre vuln\u00e9rable \u00e0 Chargement lat\u00e9ral de DLL<\/a> attaques.<\/p>\n Cela permet \u00e0 l’auteur de la menace d’invoquer une biblioth\u00e8que malveillante con\u00e7ue pour r\u00e9cup\u00e9rer un composant de troisi\u00e8me \u00e9tape, Demon.bin, \u00e0 partir d’un serveur de commande et de contr\u00f4le (C2).<\/p>\n “Demon.bin est un agent malveillant avec des fonctionnalit\u00e9s typiques de RAT (cheval de Troie d’acc\u00e8s \u00e0 distance) qui a \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9 \u00e0 l’aide d’un framework open source, post-exploitation, de commande et de contr\u00f4le nomm\u00e9 Ravage<\/a>“, Lucija Valenti\u0107, chercheuse chez ReversingLabs a dit<\/a>.<\/p>\n De plus, l’auteur d’aabquerys aurait publi\u00e9 plusieurs versions de deux autres packages nomm\u00e9s aabquery et nvm_jquery qui sont soup\u00e7onn\u00e9s d’\u00eatre les premi\u00e8res it\u00e9rations d’aabquerys.<\/p>\n Havoc est loin d’\u00eatre le seul cadre d’exploitation C2 d\u00e9tect\u00e9 dans la nature, avec des acteurs criminels tirant parti de suites personnalis\u00e9es telles que Manjusaka, Covenant, Merlin et Empire dans des campagnes de logiciels malveillants.<\/p>\n Les r\u00e9sultats soulignent \u00e9galement la croissance risque<\/a> de forfaits n\u00e9fastes<\/a> se cachent dans des r\u00e9f\u00e9rentiels open source tels que npm et PyPi, ce qui peut avoir un impact important sur la cha\u00eene d’approvisionnement logicielle.<\/p>\n <\/p>\n![\"Index](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1676058265_595_Des-chercheurs-decouvrent-du-code-malveillant-obscurci-dans-des-packages.png\" "\\"Index")
<\/div>\n![\"Index](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1676058265_487_Des-chercheurs-decouvrent-du-code-malveillant-obscurci-dans-des-packages.png\" "\\"Index")
<\/div>\n