Вредоносные пакеты в PyPi превращают Discord в похищающий данные бэкдор

Вредоносные пакеты в PyPi превращают Discord в похищающий данные бэкдор

Вредоносные пакеты в PyPi превращают Discord в похищающий данные бэкдор

Более десяти пакетов в каталоге PyPi устанавливают в систему жертвы вредоносную составляющую, модифицирующую клиент Discord. В результате система обмена сообщениями превращается в инфостилер, который может воровать данные из браузеров и Roblox.

В общей сложности исследователи из компании Snyk насчитали 12 злонамеренных пакетов, которые пользователь под ником “scarycoder“ загрузил в Python Package Index (PyPI) 1 августа 2022 года.

Интересно, что в этот раз автор пакетов отошёл от популярной практики — подставлять имена, похожие на легитимный софт. Напомним, что этот метод помогает атаковать тех разработчиков, которые опечатываются при поиске известных пакетов.

Злоумышленник “scarycoder“ использовал собственные имена и предлагал различным девелоперам попробовать их в деле. Ниже приводим список всех злонамеренных пакетов:

 

Пакеты рекламировались как инструменты для Roblox и модули для хакинга, однако по факту не обеспечивали заявленной функциональности. Вместо этого они устанавливали в систему жертвы вредоносную составляющую, крадущую пароли. Поскольку пакеты до сих пор присутствуют в каталоге, разработчикам стоит быть внимательными.

Специалисты Snyk проанализировали один из вредоносных пакетов, получивший имя “cyphers“ и выяснили, что вредоносный код кроется в файле “setup.py“. Именно он инсталлирует два других исполняемых файла — “ZYXMN.exe” и “ZYRBX.exe” — с сервера Discord CDN.

ZYXMN.exe используется для кражи данных из браузеров Google Chrome, Chromium, Microsoft Edge, Firefox и Opera, включая сохранённые пароли, историю посещения сайтов и поиска, а также cookies.

Для этого вредонос расшифровывает мастер-ключ локальной БД интернет-обозревателя и вытаскивает все необходимые данные в виде простого текста. После этого скомпрометированная информация загружается на сервер злоумышленников посредством Discord-вебхука.

Стоит ещё отметить и другую интересную особенность: зловред модифицирует JavaScript-файлы, которые использует клиент Discord. Таким способом внедряется бэкдор, крадущий данные самого Discord-аккаунта. В частности, меняется index.js в директории discord_desktop_core.

 

Напомним, что буквально на днях в PyPi нашли очередные вредоносные пакеты, запускающие DDoS на российский сервер Counter-Strike. В этом месяце также в каталог просочились десять вредоносных пакетов, загружающих инфостилер.

ВТБ заявил о нормализации работы онлайн-сервисов

Банк ВТБ сообщил об устранении неполадок в работе сервиса «ВТБ Онлайн». Это произошло примерно через два часа после резкого всплеска жалоб пользователей на работу цифровых сервисов банка.

О нормализации работы сообщил ТАСС со ссылкой на пресс-службу ВТБ. Проблемы с онлайн-сервисами и карточными платежами начались около 13:00 по московскому времени и продолжались порядка двух часов.

«Сегодня днем часть наших клиентов могла столкнуться с ограничениями в работе “ВТБ Онлайн”, а также банкоматов и банковских карт. В настоящий момент все системы работают штатно, неполадки устранены. В ближайшее время по отклоненным операциям пользователям автоматически будут возвращены средства», — говорится в сообщении пресс-службы банка.

В ВТБ также принесли извинения за доставленные неудобства и отметили, что технические службы банка работают над тем, чтобы возможные сбои устранялись максимально оперативно. О причинах и характере произошедших проблем в банке не сообщили.

Ранее сервисы мониторинга фиксировали сообщения о сбоях в работе Сбербанка, Т-Банка и системы «Честный знак». Однако пресс-службы Сбербанка и Т-Банка опровергли информацию о проблемах в своих сервисах.

«Система маркировки работает стабильно. Актуальная информация о функционировании системы публикуется в открытом доступе на сайте Честныйзнак.рф в разделе “Пульс маркировки” — там можно самостоятельно отслеживать показатели и убедиться, что все процессы идут штатно», — сообщили в пресс-службе компании «Центр развития перспективных технологий», оператора системы «Честный знак».

RSS: Новости на портале Anti-Malware.ru