암호화폐를 훔치는 것을 목표로 하는 악성 패키지가 PyPI 저장소에서 발견되었습니다

PyPI(Python Package Index) 카탈로그에서는 setup.py 스크립트에 난독화된 코드가 포함된 26개의 악성 패키지가 식별되었습니다. 이 스크립트는 클립보드에 암호화폐 지갑 식별자가 있는지 확인하고 이를 공격자의 지갑으로 변경합니다. 클립보드 거래소 지갑번호를 통해 이체된 돈이 다르다는 사실을 피해자는 인지하지 못합니다.)

대체는 악성 패키지를 설치한 후 브라우저 추가 기능의 형태로 브라우저에 내장되어 표시된 각 웹 페이지의 컨텍스트에서 실행되는 JavaScript 스크립트에 의해 수행됩니다. 추가 기능 설치 프로세스는 Windows 플랫폼에만 적용되며 Chrome, Edge 및 Brave 브라우저용으로 구현됩니다. ETH, BTC, BNB, LTC 및 TRX 암호화폐 지갑 교체를 지원합니다.

악성 패키지는 타입스쿼팅(개별 문자가 다른 유사한 이름 지정, 예를 들어 example 대신 djangoo, django 대신 djangoo, python 대신 pyhton 등)을 사용하여 일부 인기 있는 라이브러리로 PyPI 디렉터리에서 위장합니다. 생성된 클론은 악의적인 삽입만 다를 뿐 합법적인 라이브러리를 완전히 복제하므로 공격자는 검색 시 이름의 차이를 알아차리지 못하고 오타를 낸 부주의한 사용자에게 의존합니다. 악성 클론으로 위장한 원본 합법적 라이브러리(다운로드 수 일일 21만 개 초과)의 인기를 고려하면, 피해자를 잡을 확률은 상당히 높다(예: 공개 후 100시간 후). 최초의 악성 패키지로 XNUMX회 이상 다운로드되었습니다.

일주일 전에 같은 연구원 그룹이 PyPI에서 30개의 다른 악성 패키지를 식별했으며 그 중 일부는 인기 있는 라이브러리로 위장했다는 점은 주목할 만합니다. 약 5700주간 지속된 공격 동안 악성 패키지는 4회 다운로드됐다. 이러한 패키지의 암호화폐 지갑을 교체하는 스크립트 대신 표준 구성 요소인 WXNUMXSP-Stealer가 사용되었습니다. 이 구성 요소는 로컬 시스템에서 저장된 비밀번호, 액세스 키, 암호화폐 지갑, 토큰, 세션 쿠키 및 기타 기밀 정보를 검색하고 발견된 파일을 보냅니다. 디스코드를 통해.

W4SP-Stealer에 대한 호출은 setup.py 또는 __init__.py 파일에 "__import__"라는 표현을 대체하여 수행되었습니다. 이 파일은 텍스트 편집기의 표시 영역 외부에서 __import__를 호출하기 위해 많은 공백으로 구분되었습니다. "__import__" 블록은 Base64 블록을 디코딩하여 임시 파일에 썼습니다. 이 블록에는 시스템에 W4SP Stealer를 다운로드하고 설치하기 위한 스크립트가 포함되어 있습니다. 일부 패키지에서는 “__import__” 표현 대신 setup.py 스크립트에서 “pip install” 호출을 이용해 추가 패키지를 설치해 악성 블록을 설치했다.

암호화폐 지갑 번호를 스푸핑하는 식별된 악성 패키지:

• baeutifulsoup4
• beautifulsup4
• 클로라마
• 암호화
• 암호학
• 장구
• hello-world-예제
• hello-world-예제
• 아이피톤
• 메일 유효성 검사기
• mysql-커넥터-pyhton
• 노트북
• 피오규
• 피검
• 파이토르크
• python-dateuti
• 파이썬 플라스크
• python3 플라스크
• 피얄름
• 요청
• 슬리늄
• SQLachemy
• sqlalcemy
• tkniter
• urllib

시스템에서 민감한 데이터를 보내는 식별된 악성 패키지:

• 유형유틸
• 유형 문자열
• 유틸리티 유형
• 듀오넷
• 뚱뚱한 놈
• 스트리퍼
• 피디프로텍트
• 인크리블심
• 꼬기
• Pyptext
• 설치하다
• 자주하는 질문
• 컬러윈
• 요청-httpx
• 콜로사마
• 샤시그마
• 조이다
• 펠페스비아디뉴
• 사이프러스
• 황열암
• 유문
• 파이스타일
• pyurllib
• 알고리즘
• OL
• 여보세요
• 컬라피
• 유형-색상
• 피힌트

출처 : opennet.ru