🥇Во складиштето PyPI откриени се злонамерни пакети наменети за кражба на криптовалути

Во каталогот PyPI (Python Package Index), идентификувани се 26 малициозни пакети кои содржат заматен код во скриптата setup.py, која го одредува присуството на идентификатори на крипто паричник во таблата со исечоци и ги менува во паричникот на напаѓачот (се претпоставува дека при со плаќање, жртвата нема да забележи дека парите префрлени преку бројот на паричникот за размена на таблата со исечоци се различни).

Замената се извршува со JavaScript скрипта која, откако ќе се инсталира малициозниот пакет, се вградува во прелистувачот како додаток на прелистувачот што работи во контекст на секоја прегледана веб-страница. Процесот на инсталација на додатокот е специфичен за платформата. Windows и е имплементирано за прелистувачите Chrome, Edge и Brave. Заменувањето на паричници е поддржано за криптовалути ETH, BTC, BNB, LTC и TRX.

Злонамерните пакети се маскирани во директориумот PyPI како некои популарни библиотеки кои користат типски кватирање (доделување слични имиња кои се разликуваат во поединечни знаци, на пример, пример наместо пример, djangoo наместо django, pyhton наместо python итн.). Бидејќи креираните клонови целосно ги реплицираат легитимните библиотеки, кои се разликуваат само во злонамерно вметнување, напаѓачите се потпираат на невнимателни корисници кои направиле печатна грешка и не ги забележале разликите во името при пребарувањето. Имајќи ја предвид популарноста на оригиналните легитимни библиотеки (бројот на преземања надминува 21 милион примероци на ден), како што се прикриени малициозни клонови, веројатноста за фаќање жртва е прилично голема, на пример, еден час по објавувањето на првиот злонамерен пакет, тој беше преземен повеќе од 100 пати.

Вреди да се одбележи дека пред една недела истата група истражувачи идентификуваше 30 други малициозни пакети во PyPI, од кои некои беа преправени како популарни библиотеки. За време на нападот, кој траеше околу две недели, малициозните пакети беа преземени 5700 пати. Наместо скрипта за замена на крипто-паричници во овие пакети, се користеше стандардната компонента W4SP-Stealer, која го пребарува локалниот систем за зачувани лозинки, клучеви за пристап, криптопаричници, токени, колачиња за сесии и други доверливи информации и ги испраќа пронајдените датотеки преку Discord.

Повикот до W4SP-Stealer беше направен со замена на изразот „__import__“ во датотеките setup.py или __init__.py, кои беа одделени со голем број празни места за да се оствари повикот до __import__ надвор од видливата област во уредувачот на текст. Блокот „__import__“ го декодираше блокот Base64 и го запиша во привремена датотека. Блокот содржеше скрипта за преземање и инсталирање на W4SP Stealer на системот. Наместо изразот „__import__“, вклучувањето на малициозниот блок во некои пакети беше извршено преку инсталирање на дополнителен пакет со помош на повикот „pip install“ од скриптата setup.py.