Проверяйте код: PyPI-пакеты с инфостилером нацелены на данные и криптовалюту разработчиков

ИБ-компания ESET обнаружила в репозитории Python Package Index (PyPI) набор из 116 вредоносных пакетов, предназначенных для заражения систем Windows и Linux с помощью специального бэкдора.

В некоторых случаях финальная полезная нагрузка представляет собой вариант стилера W4SP Stealer или простого монитора буфера обмена для кражи криптовалюты, или и то, и другое. По оценкам, с мая 2023 года пакеты были загружены более 10 000 раз.

Замечено, что злоумышленники, стоящие за этой деятельностью, использовали три метода для объединения вредоносного кода в пакеты Python, а именно с помощью сценария «test.py», встраивания PowerShell в файл «setup.py» и включения его в запутанной форме в файл «__init__.py»

Независимо от используемого метода, конечной целью кампании является заражение целевого хоста вредоносным ПО, в первую очередь бэкдором, способным удаленно выполнять команды, похищать данные и делать снимки экрана. Модуль бэкдора реализован на Python для Windows и на Go для Linux.

Кроме того, цепочки атак также завершаются внедрением W4SP Stealer или клиппера, предназначенного для тщательного наблюдения за буфером обмена жертвы и замены скопированного адреса кошелька на адрес злоумышленника.

Разработка является последней в волне скомпрометированных пакетов Python, которые злоумышленники выпустили, чтобы скомпрометировать экосистему с открытым исходным кодом и распространить вредоносные программы для атак на цепочку поставок. Поэтому Python-разработчики должны тщательно проверять загружаемый код, прежде чем устанавливать его в свои системы.

Ранее мы уже писали о вредоносных пакетах в репозитории PyPI. Например, 5 пакетов, обнаруженных в конце января, содержали инфостилер W4SP Stealer. А в ноябре стало известно, что пакеты, маскирующиеся под популярные библиотеки Python, привлекли тысячи загрузок по всему миру, в том числе в США и Китае. В ходе волны заражений были похищены данные и криптовалюта ИТ-экспертов.