116 пакетов заражают системы специально созданным бэкдором на основе стилера W4SP.
https://www.securitylab.ru/upload/ib...0elj8qjadf.jpg
ИБ-компания ESET https://www.welivesecurity.com/en/es...packages-pypi/ в репозитории Python Package Index (PyPI) набор из 116 вредоносных пакетов, предназначенных для заражения систем Windows и Linux с помощью специального бэкдора.
В некоторых случаях финальная полезная нагрузка представляет собой вариант стилера W4SP Stealer или простого монитора буфера обмена для кражи криптовалюты, или и то, и другое. По оценкам, с мая 2023 года пакеты были загружены более 10 000 раз.
Замечено, что злоумышленники, стоящие за этой деятельностью, использовали три метода для объединения вредоносного кода в пакеты Python, а именно с помощью сценария «test.py», встраивания PowerShell в файл «setup.py» и включения его в запутанной форме в файл «__init__.py»
Независимо от используемого метода, конечной целью кампании является заражение целевого хоста вредоносным ПО, в первую очередь бэкдором, способным удаленно выполнять команды, похищать данные и делать снимки экрана. Модуль бэкдора реализован на Python для Windows и на Go для Linux.
Кроме того, цепочки атак также завершаются внедрением W4SP Stealer или клиппера, предназначенного для тщательного наблюдения за буфером обмена жертвы и замены скопированного адреса кошелька на адрес злоумышленника.
Разработка является последней в волне скомпрометированных пакетов Python, которые злоумышленники выпустили, чтобы скомпрометировать экосистему с открытым исходным кодом и распространить вредоносные программы для атак на цепочку поставок. Поэтому Python-разработчики должны тщательно проверять загружаемый код, прежде чем устанавливать его в свои системы.
Ранее мы уже писали о вредоносных пакетах в репозитории PyPI. Например, 5 пакетов, обнаруженных в конце января, содержали инфостилер W4SP Stealer. А в ноябре стало известно, что пакеты, маскирующиеся под популярные библиотеки Python, привлекли тысячи загрузок по всему миру, в том числе в США и Китае. В ходе волны заражений были похищены данные и криптовалюта ИТ-экспертов.