Pacotes PyPI maliciosos usando túneis Cloudflare para se infiltrar em firewalls

Em outra campanha direcionada ao repositório Python Package Index (PyPI), seis pacotes maliciosos foram encontrados implantando ladrões de informações em sistemas de desenvolvedores.

Os pacotes agora removidos, descobertos pelo Phylum entre 22 e 31 de dezembro de 2022, incluem pyrologin, easytimestamp, discorder, discord-dev, style.py e pythonstyles.

O código malicioso, como é cada vez mais comum , fica oculto no script de configuração (setup.py) dessas bibliotecas, o que significa que executar um comando “pip install” é suficiente para ativar o processo de implantação do malware.

O malware foi projetado para iniciar um script do PowerShell que recupera um arquivo ZIP, instala dependências invasivas como pynput, pydirectinput e pyscreenshot e executa um script do Visual Basic extraído do arquivo para executar mais códigos do PowerShell.

“Essas bibliotecas permitem controlar e monitorar a entrada do mouse e do teclado e capturar o conteúdo da tela”, disse Phylum em um relatório técnico publicado na semana passada.

Os pacotes nocivos também são capazes de coletar cookies, senhas salvas e dados de carteira de criptomoedas dos navegadores Google Chrome, Mozilla Firefox, Microsoft Edge, Brave, Opera, Opera GX e Vivaldi.

Mas, no que é uma nova técnica adotada pelo agente da ameaça, o ataque ainda tenta baixar e instalar o cloudflared , uma ferramenta de linha de comando para o Cloudflare Tunnel , que oferece uma “maneira segura de conectar seus recursos ao Cloudflare sem um endereço IP roteável publicamente. “

A ideia, em poucas palavras, é aproveitar o túnel para acessar remotamente a máquina comprometida por meio de um aplicativo baseado em Flask, que abriga um trojan apelidado de xrat (mas com o codinome poweRAT da Phylum).

O malware permite que o agente da ameaça execute comandos de shell, baixe arquivos remotos e os execute no host, exfiltre arquivos e diretórios inteiros e até mesmo execute código python arbitrário.

O aplicativo Flask também oferece suporte a um recurso “ao vivo” que usa JavaScript para ouvir os eventos de clique do mouse e do teclado e capturar capturas de tela do sistema para capturar qualquer informação confidencial inserida pela vítima.

“Essa coisa é como um RAT com esteróides”, disse Phylum. “Ele tem todos os recursos básicos do RAT integrados em uma boa GUI da web com um recurso rudimentar de área de trabalho remota e um ladrão para inicializar!”

As descobertas são mais uma janela para como os invasores estão evoluindo continuamente suas táticas para atingir repositórios de pacotes de código aberto e preparar ataques à cadeia de suprimentos.

No final do mês passado, a Phylum também divulgou uma série de módulos npm fraudulentos que foram encontrados exfiltrando variáveis ​​de ambiente dos sistemas instalados.