Icono del sitio Blog de Programación y Desarrollo – Nube Colectiva

Detectan Código Malicioso en la Plataforma PyPI

Detectan Código Malicioso en la Plataforma PyPI

Detectan Código Malicioso en la Plataforma PyPI

La empresa de ciberseguridad Phylum detecto código malicioso en un paquete de la plataforma PyPI.

El paquete se llama requests-darwin-lite y está disfrazado de unas líneas de código que parecen normales, pero algunas hacen cosas extrañas.

En este artículo hablaremos sobre un Código Malicioso en la Plataforma PyPI, vamos con ello.

La plataforma PyPI es usada diariamente por miles de programadores en Python

El paquete requests-darwin-lite es una bifurcación del popular paquete request y traía un archivo PNG con código binario malicioso basado en el lenguaje de programación Go.

El usuario malicioso lanzó el día 16 de mayo de 2024 el paquete llamado ml-linear-regression.

Este nuevo paquete traía un archivo PDF llamado simple_linear_regression.pdf, el cual venia con código malicioso escrito en el lenguaje de programación Go.

Asimismo, este paquete incluye el UUID 3E7C2DED-1099-5E75-B96F-B63D5F8C479E como ID de una victima objetivo.

El usuario malicioso pretendía conseguir victimas por medio de varios paquetes.

Paquete requests-darwin-lite

Volviendo con este paquete, traía un atributo setuptools llamado cmdclass.

El paquete original request usa cmdclass para personalizar la ejecución de pruebas mediante comandos de configuración.

El usuario malicioso implementó pruebas en paralelo para optimizar el rendimiento del código malicioso en función a la cantidad de núcleos de la CPU de las víctimas.

En este repositorio puedes encontrar el código original del archivo setup.py del paquete request.

Sobre el final del archivo, en la sección setup puedes ver que hace uso del atributo cmdclass:


Y esto es legítimo porque es parte del paquete request que todos usamos.

Pero aquí viene el problema con el paquete requests-darwin-lite, en cierta parte de su código parece malicioso.

El usuario malicioso insertó otro elemento llamado PyInstall en el atributo cmdclass:


El elemento PyInstall se ejecuta cuando la víctima instala el paquete requests-darwin-lite.

Este elemento está dirigido a los usuarios con sistemas operativos macOS.

PyInstall decodifica un string codificado en base64 y obtiene el UUID de la computadora.

Una vez obtenido el UUID de la computadora de las victimas, pueden atacarla.

El usuario malicioso podrá realizar pruebas operativas en las computadoras para posteriormente implementar malware.

El paquete requests-darwin-lite incluía un archivo PNG que pesaba 17 MB, algo muy inusual.

Esta imagen pudo estar siendo usada para insertar datos a las computadoras de las víctimas.

Felizmente, la empresa Phylum informó a PyPI lo acontecido y eliminaron el paquete requests-darwin-lite  y todas sus variantes.

Conclusión

No es la primera ves que la plataforma PyPI sufre este tipo de ataques.

Así que probablemente hayan más en el futuro.

Mantente alerta para que no seas victima de este tipo de ataques.

Nota(s)

Síguenos en nuestras Redes Sociales para que no te pierdas nuestros próximos contenidos.

Salir de la versión móvil