Злонамерени пакети, насочени към кражба на криптовалута, бяха идентифицирани в хранилището на PyPI

В каталога на PyPI (Python Package Index) бяха идентифицирани 26 злонамерени пакета, съдържащи обфусциран код в скрипта setup.py, който определя наличието на идентификатори на крипто портфейл в клипборда и ги променя в портфейла на атакуващия (предполага се, че при извършване плащане, жертвата няма да забележи, че парите, прехвърлени през обменния портфейл на клипборда, са различни).

Подмяната се извършва от JavaScript скрипт, който след инсталиране на зловредния пакет се вгражда в браузъра под формата на браузърна добавка, която се изпълнява в контекста на всяка разглеждана уеб страница. Процесът на инсталиране на добавката е специфичен за платформата Windows и се прилага за браузъри Chrome, Edge и Brave. Поддържа замяна на портфейли за криптовалути ETH, BTC, BNB, LTC и TRX.

Злонамерените пакети са маскирани в директорията на PyPI като някои популярни библиотеки, използващи типове (присвояване на подобни имена, които се различават по отделни знаци, например exampl вместо example, djangoo вместо django, pyhton вместо python и т.н.). Тъй като създадените клонинги напълно копират легитимни библиотеки, различаващи се само по злонамерено вмъкване, нападателите разчитат на невнимателни потребители, които са направили печатна грешка и не са забелязали разликата в името при търсене. Като се има предвид популярността на оригиналните легитимни библиотеки (броят на изтеглянията надхвърля 21 милиона копия на ден), под които са маскирани злонамерени клонинги, вероятността да се хване жертва е доста висока; например час след публикуването на първият злонамерен пакет, той беше изтеглен повече от 100 пъти.

Трябва да се отбележи, че преди седмица същата група изследователи идентифицира 30 други злонамерени пакета в PyPI, някои от които също бяха маскирани като популярни библиотеки. По време на атаката, която продължи около две седмици, зловредните пакети бяха изтеглени 5700 пъти. Вместо скрипт за замяна на крипто портфейли в тези пакети е използван стандартният компонент W4SP-Stealer, който търси в локалната система за запазени пароли, ключове за достъп, крипто портфейли, токени, сесийни бисквитки и друга поверителна информация и изпраща намерените файлове чрез Discord.

Извикването на W4SP-Stealer беше извършено чрез заместване на израза „__import__“ във файловете setup.py или __init__.py, който беше разделен с голям брой интервали, за да направи извикването на __import__ извън видимата област в текстовия редактор. Блокът "__import__" декодира блока Base64 и го записва във временен файл. Блокът съдържаше скрипт за изтегляне и инсталиране на W4SP Stealer в системата. Вместо израза „__import__“, злонамереният блок в някои пакети беше инсталиран чрез инсталиране на допълнителен пакет с помощта на извикването „pip install“ от скрипта setup.py.

Идентифицирани злонамерени пакети, които подправят номера на крипто портфейли:

• baeutifulsoup4
• beautifulsup4
• клоорама
• криптография
• криптография
• djangoo
• здравей-свят-пример
• здравей-свят-пример
• ipyhton
• пощенски валидатор
• mysql-конектор-pyhton
• бележник
• pyautogiu
• пигаем
• pythorhc
• python-dateuti
• питон-колба
• python3-фласка
• pyyalm
• rqeuests
• селен
• sqlachemy
• sqlalcemy
• tkniter
• urllib

Идентифицирани злонамерени пакети, изпращащи чувствителни данни от системата:

• typesutil
• типичен низ
• sutiltype
• дуонет
• дебеланко
• стринфер
• pydprotect
• incrivelsim
• канап
• pyptext
• installpy
• Въпроси
• colorwin
• заявки-httpx
• цветовесама
• шаасигма
• низ
• felpesviadinho
• кипарис
• pystyte
• pyslyte
• pystyle
• pyurllib
• алгоритмична
• ол
• Иао
• curlapi
• тип-цвят
• pyhints

Източник: opennet.ru