Новая атака на цепочку поставок: десятки пакетов PyPI грузят инфостилер

Новая атака на цепочку поставок: десятки пакетов PyPI грузят инфостилер

Новая атака на цепочку поставок: десятки пакетов PyPI грузят инфостилер

Исследователи из стартапа Phylum обнаружили в каталоге PyPI около 30 пакетов, доставляющих инфостилер W4SP. По состоянию на 1 ноября вредоносный софт суммарно собрал свыше 5700 загрузок.

Вредоносные пакеты в рамках текущей атаки на цепочку поставок начали плодиться на PyPI с середины прошлого месяца; 22 октября был зафиксирован мощный вброс. Несколько находок с теми же IoC датировались июлем — по всей видимости, проба пера.

Анализ показал, что злоумышленники просто копируют популярные библиотеки и внедряют в базовый код инструкцию import. В большинстве случаев этот сильно обфусцированный фрагмент вставляется в setup.py или the __init__.py.

Имена вредоносных пакетов выглядят вполне невинно, иногда используется тайпсквоттинг. Список опасных находок (29 позиций) приведен в блог-записи Phylum; все перечисленные в нем проекты загружают трояна W4SP.

Два похожих пакета — pystile и threadings — недавно нашел на PyPI программист и исследователь Хауке Любберс (Hauke Lübbers). Оба содержат вредоносный код GyruzPIP, созданный на основе opensource-проекта EvilPIP (выложен на PyPI с пометкой «использовать только в образовательных целях»).

Для тестирования зловреда вирусописатели создали два репозитория на GitHub. Разбор кода GyruzPIP, проведенный в BleepingComputer, выявил функции инфостилера, такие как кража токенов Discord, паролей и куки из Chrome, вывод краденых данных на удаленный сервер через вебхук Discord.

Подобные находки на PyPI нередки, а в минувшем августе наблюдалось большое разнообразие. Исследователи обнаружили в открытом репозитории Python-пакеты, доставляющие бэкдоры, инфостилеры и даже DDoS-бот.

Приложение исчезло из Google Play? Android будет предупреждать об этом

Google готовит полезную мелочь для Android: Play Store сможет уведомлять пользователей, если установленное приложение удалили из магазина. Спустя годы неожиданных исчезновений приложений из магазина кто-то наконец подумал, что не помешает предупреждать об этом юзеров.

Сейчас всё работает иначе: если приложение признали опасным, Play Protect может предупредить пользователя, но если программу просто удалили из Google Play (например, из-за нарушения правил, решения разработчика или по другой причине) пользователь обычно ничего не узнаёт.

Приложение остаётся на смартфоне, но обновлений через магазин больше не получает.

На возможное нововведение указывают строки, найденные в Google Play Store версии 51.4.19. В них прямо говорится, что приложение было удалено из Google Play и больше не будет получать обновления. Предусмотрены варианты уведомлений как для одного приложения, так и для нескольких сразу.

По сути, Google хочет закрыть неприятную слепую зону. Пользователь может годами держать на телефоне приложение, которое уже исчезло из магазина, не обновляется и потенциально со временем превращается в уязвимое место.

Пока это не полноценный релиз, а находка из APK-разбора. Такие функции могут появиться позже, измениться или вообще не добраться до пользователей. Но сама идея здравая: если приложение вылетело из Play Store, владелец телефона хотя бы должен знать, что дальше оно живёт без официальных обновлений.

И да, это не значит, что каждое удалённое приложение автоматически опасно. Но если программа исчезла из магазина и перестала обновляться, это уже повод хотя бы задуматься, нужна ли она на устройстве дальше.

RSS: Новости на портале Anti-Malware.ru