21 марта 2022 года в индекс пакетов Python (PyPI) был загружен вредоносный пакет под названием discordpydebug, замаскированный под утилиту для разработчиков ботов Discord. Этот пакет, скачанный более 11 000 раз, содержал полнофункциональный троян для удаленного доступа (RAT), опасность которого не была оценена многими пользователями.
Методы атаки и последствия
Пакет discordpydebug был нацелен на разработчиков, которые не всегда внимательно относятся к инструментам, которые они устанавливают. Эксперты отмечают, что:
- Хакеры используют вводящие в заблуждение имена и описания пакетов, чтобы обмануть пользователей;
- Отсутствие принудительных проверок безопасности в PyPI создает уязвимости;
- После установки RAT он устанавливал связь с удаленным сервером управления (C2), что позволяло злоумышленникам управлять зараженными системами.
После установки RAT начал отправлять автоматические запросы на сервер C2 (backstabprotection.jamesx123.repl.co) через функцию run(), что означало, что зараженный хост регистрировался без согласия пользователя.
Функции вредоносного ПО
Вредоносная программа обладала различными функциями:
- Чтение и запись данных в файлы с использованием формата JSON;
- Удаленное выполнение команд через функцию runcommand(), что позволяло злоумышленникам получить полный контроль над системой;
- Работа в непрерывном цикле через функцию debug(), ежесекундно запрашивая инструкции у сервера C2;
- Предоставление доступа к файлам конфигурации, токенам и конфиденциальным данным.
Анализ инцидента
Данный инцидент иллюстрирует более широкий тренд, при котором злоумышленники проникают в экосистемы с открытым исходным кодом с помощью вредоносных пакетов:
- Использование методов MITRE ATT&CK, таких как T1071.001 (Web protocols for C2) и T1059.004 (Python для выполнения команд), подчеркивает серьезность масштабируемых атак;
- Легкость, с которой злоумышленники могут внедрять вредоносный код в популярные репозитории, вызывает серьезную обеспокоенность в сфере кибербезопасности.
Хотя информация о пакете discordpydebug была сообщена, и он был удален из PyPI, этот случай подчеркивает сохраняющиеся проблемы в обеспечении безопасности цепочки поставок программного обеспечения. Необходимы новые меры для повышения видимости и создания инструментов, которые помогут выявлять такие угрозы до того, как они смогут угрожать разработчикам и их проектам.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Вредоносный пакет discordpydebug: угроза для разработчиков ботов".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube | X.