В каталог PyPI просочились 10 вредоносных пакетов, загружающих инфостилер

В каталог PyPI просочились 10 вредоносных пакетов, загружающих инфостилер

Администраторы каталога Python-софта — Python Package Index (PyPI) удалили десять вредоносных пакетов. Это очередной случай, подтверждающий тенденцию размещения злонамеренного софта в популярных репозиториях.

Скорее всего, размещая вредоносных код на всем известных площадках (PyPI, Node Package Manager (npm) и Maven Central), злоумышленники преследуют цель — скомпрометировать сразу много организаций.

Специалисты по кибербезопасности предупреждают разработчиков о необходимости тщательно проверять код перед его загрузкой даже из проверенного репозитория.

На новый набор вредоносных пакетов в PyPI обратили внимание исследователи из Spectralops.io (принадлежит Check Point). Как выяснили эксперты, зловреды представляли собой дропперы для загрузки вредоносной программы, похищающей данные пользователя.

Авторы пакетов сознательно старались придать им максимально легитимный вид, а в некоторых случаях — даже замаскировать под другие популярные пакеты, размещенные в PyPI.

В Check Point отметили, что злоумышленники встроили вредоносный код в скрипт инсталлятора пакетов. Когда разработчик запускал команду “pip”, злонамеренная составляющая запускалась незаметно для него и в фоне устанавливала дроппер.

В качестве примера исследователи приводят пакет “Ascii2text”, у которого вредоносный код содержался в файле “_init_.py“, который импортировался скриптом “setup.py“. Как только разработчик пытался установить пакет, код злоумышленников загружал и выполнял скрипт, задача которого — собрать пароли и выгрузить их на Discord-сервер. По словам Check Point, вредоносный пакет был точной копией популярного, даже полностью копировал имя и описание.

Три из девяти выявленных пакетов — Pyg-utils, Pymocks и PyProto2 — создал один и тот же злоумышленник. Команда Check Point ещё раз подчеркнула, насколько важно для девелоперов проверять загружаемый код.

Напомним, на днях мы писали о школьнике из Вероны, который ради фана и эксперимента загрузил шифровальщик в PyPI-репозиторий. А в середине марта популярный NPM-пакет вдруг стал вредоносным и начал портить файловые системы из России и Белоруссии.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Activision изучает вредоносную программу, ворующую пароли геймеров

Компания Activision, разрабатывающая крупные игровые проекты, изучает киберпреступную кампанию, в ходе которой злоумышленники утаскивают пароли геймеров с помощью неидентифицированного вредоноса.

Пока не очень понятно, как именно, но атакующим удаётся установить в системы игроков вредоносную программу, собирающую учётные данные от аккаунтов в системе Activision, а также криптовалютные кошельки.

Слова анонимного источника передаёт издание TechCrunch:

«Игровой гигант пытается помочь пользователям удалить вредонос с компьютеров и параллельно вычисляет затронутые кампанией аккаунты. На данный момент мало данных относительно вектора проникновения зловреда, однако есть мысль, что пострадавшие геймеры устанавливали сторонние инструменты».

В пресс-службе Activision подчеркнули, что компания в курсе кражи паролей ряда игроков. Отдельно отмечается, что серверы Activision никак не затронуты вредоносной активностью.

Судя по всему, первым на атаки указал специалист под ником Zeebler, разрабатывающий и продающий читы для Call of Duty. По его словам, вредоносная программа устанавливается на компьютеры геймеров, использующих именно инструменты читинга.

Как объясняет Zeebler, вредоносная программа маскируется под легитимный софт. Кстати, одним из пострадавших стал клиент Zeebler, после чего девелопер начал изучать кампанию и вышел на базу со скомпрометированными учётными данными.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru