Tehdit aktörleri PYPI deposuna kötü niyetli python paketleri yükledi ve bunları Stackexchange çevrimiçi soru ve cevap platformu aracılığıyla tanıttı.
Paketlere 'SPL-Types', 'Raydium', 'Sol-Stucts', 'Sol-In-Incult' ve 'Raydium-SDK' olarak adlandırılır ve tarayıcıdan, mesajlaşma uygulamalarından (Telegram, Signal, mesajlaşma uygulamalarından hassas verileri çalan komut dosyalarını indirir. Oturum) ve kripto para birimi cüzdan detayları (Çıkış, Electrum, Monero).
Bilgi açan kötü amaçlı yazılım, dosyaları belirli anahtar kelimelerle de açıklayabilir ve ekran görüntüleri alabilir ve tüm verileri bir telgraf kanalına gönderebilir.
Uygulama Güvenlik Test Şirketi'ndeki araştırmacılar CheckMarx, paketlerin 25 Haziran'da PYPI'ye yüklendiğini ancak 3 Temmuz'da bir güncellemede kötü bir bileşeni aldığını söylüyor.
Paketler artık PYPI'da değil, zaten 2082 kez indirildi.
CheckMarx’ın soruşturmasına göre, saldırganlar özellikle Raydium ve Solana blockchain projelerinde yer alan kullanıcıları hedeflediler.
Raydium'un bir Python kütüphanesine sahip olmaması, yazım hatalarına veya diğer aldatma tekniklerine başvurmak zorunda kalmadan paketleri için adını kullanan saldırganlar için bir sömürü fırsatı yarattı.
Paketleri doğru hedeflere tanıtmak için, saldırganlar Stackexchange hakkında hesaplar oluşturdu ve kötü amaçlı paketlere bağlantılar içeren popüler konular altında yorum bıraktı.
Seçilen konular paket adlarıyla ilgiliydi ve verilen cevaplar yüksek kalitedeydi, bu yüzden kurbanlar tehlikeli paketleri indirebilirdi.
İki binden fazla potansiyel enfeksiyonla, bu kampanyanın etkisini tahmin etmek zordur, ancak CheckMarx araştırmacıları raporlarında birkaç kurban örneği sundu.
Bir vaka, enfeksiyon sonucunda Solana kripto para cüzdanının boşaltılmasını sağlayan bir BT çalışanı ile ilgilidir.
İkinci örnekte, kötü amaçlı yazılım, kurbanın özel anahtarının bir ekran görüntüsünü yakaladı, bu da şifre olmadan bile MFA korumalarını ve kaçırma hesaplarını atlamak için kullanılabilecek.
Özellikle, bu ekran görüntüsü Windows virüsü ve tehdit koruma taramalarının kurbanın cihazında koşan tehdidi yakalayamadığını gösteriyor.
Bu taktik geçmişte kullanılmıştır. Benzer bir durum Mayıs 2024'te Sonatype tarafından bildirildi ve StackOverflow cevapları aracılığıyla PYPI'da kötü niyetli python paketlerinin tanıtılmasını içeriyordu.
Çoğu yazılım geliştiricisi yararlı bireylerdir, bir senaryoyu kırmaya hazırdır veya işleri kolaylaştırabilecek bir komut dosyasını işaret eder. Bununla birlikte, yazarın da güvenilir olması gerektiğinden, meşru bir platformdan bir komut dosyası kullanmak yeterli değildir.
Buna rağmen, kodun kullanılmasından önce incelemek, CheckMarx tarafından açıklanan kampanyada olduğu gibi, daha sonra kötü niyetli amaçlar için değiştirilmediğinden emin olmanın en iyi yoludur.
Kötü niyetli PYPI paketleri güvenlik duvarlarını atlamak için Cloudflare Tüneli Oluştur
Facebook'ta sahte AI Editör Reklamları Şifre Çalma Kötü Yazılım
Google Reklamlar Sahte Google Authenticator Site Push Malweing Makence
Google Chrome, Infostealer kötü amaçlı yazılımları engellemek için uygulamaya bağlı şifreleme ekler
Sahte Crowdtrike Onarım Kılavuzu Yeni Infostealer kötü amaçlı yazılımını iter
Kaynak: Bleeping Computer