ztevenreal
- Un solo error tipográfico podría permitir que los piratas informáticos secuestren su sistema con malware oculto en paquetes falsos
- El malware multiplataforma ahora tonta incluso a los desarrolladores experimentados imitando los nombres de paquetes de código extenso de confianza
- Los atacantes están explotando la confianza del desarrollador con cargas avíos sigilosas que esquivan las herramientas de protección de malware
Un nuevo ataque de la condena de suministro ha revelado cómo poco tan inocuo como un error tipográfico puede brindar la puerta a serias amenazas de ciberseguridad, advirtieron los expertos.
Un mensaje de Checkmarx Los actores maliciosos están utilizando trucos inteligentes para engañar a los desarrolladores para que descarguen paquetes falsos, lo que puede dar a los piratas informáticos control de sus sistemas.
Los atacantes se dirigen principalmente a los usuarios de Colorama, un popular paquete de Python, y Colorizr, una útil similar utilizada en JavaScript (NPM).
Paquetes engañosos y la amenaza de errores tipográficos
“Esta campaña se dirige a los usuarios de Python y NPM en Windows y Linux a través de ataques con tiposquatting y nombre de confusión”, dijo Ariel Harush, investigador de CheckMarx.
Los atacantes usan una técnica indicación tipo de tipogrado. Por ejemplo, en puesto de “Colorama”, un desarrollador podría escribir accidentalmente “col0rama” o “coloramaa” y descargar una traducción dañina.
Estos paquetes falsos se cargaron en el repositorio de Pypi, que es la principal fuente de las bibliotecas de Python.
“Hemos opuesto paquetes de Python (PYPI) maliciosos como parte de una campaña para escribir un tipo de insulto. Los paquetes maliciosos permiten un control remoto, persistencia, etc.”, dijo Darren Meyer, defensor de la investigación de seguridad en CheckMarx.
Lo que hace que esta campaña sea inusual es que los atacantes mezclaron nombres de diferentes ecosistemas, utilizando nombres del mundo de NPM (JavaScript) para engañar a los usuarios de Python.
Esta orientación multiplataforma es rara y sugiere una organización más descubierta y potencialmente coordinada.
Las cargas avíos de Windows y Linux tienen tiempos de carga similares y nombres, pero usan diferentes herramientas, tácticas e infraestructura, lo que significa que pueden no ser de la misma fuente.
Una vez instalados, los paquetes falsos pueden causar daños graves: en los sistemas de Windows, el malware crea tareas programadas para ayudar variables de entorno de persistencia y cosecha, lo que podría incluir credenciales confidenciales.
Asimismo intenta deshabilitar incluso el mejor software antivirus utilizando comandos de PowerShell como set -mppreference -disableioavprotection $ true.
En los sistemas Linux, paquetes como Colorizator y ColorAiz llevan cargas avíos codificadas para crear capas inversas cifradas, comunicarse a través de plataformas como Telegram y Discord, y exfiltrar datos a servicios como PasteBin.
Estos scripts no se ejecutan de una vez; Están diseñados para el sigilo y la persistencia, utilizando técnicas como disfrazarse de procesos de núcleo y editar rc.específico y crontabs para la ejecución cibernética.
Aunque los paquetes maliciosos se han eliminado de los repositorios públicos, la amenaza está remotamente de terminar.
Los desarrolladores deben tener mucho cuidado al instalar paquetes porque incluso las mejores plataformas de protección de punto final luchan con estas tácticas evasivas. Siempre verifique dos veces la ortografía y asegúrese de que el paquete provenga de una fuente confiable.
CheckMARX recomienda que las organizaciones auditen todos los paquetes implementados y desplegables, examinen proactivamente el código de aplicación, analicen los repositorios privados y bloqueen los nombres maliciosos conocidos.
