Os pesquisadores da Fortinet descobriram três pacotes maliciosos no repositório PyPI de código aberto. Esses pacotes estavam sendo direcionados a sistemas Linux com um minerador de criptomoedas. Os três pacotes denominados modularseven, driftme e catme têm o mesmo autor, conhecido como “sastra”, que criou uma conta PyPI pouco antes de enviar o primeiro deles.
Pacotes maliciosos no repositório PyPI
Os pacotes maliciosos totalizaram mais de 400 downloads antes de serem removidos do repositório. A Fortinet observou que os indicadores de comprometimento (IoCs) para esses pacotes correspondem aos do pacote PyPI “culturestreak” descoberto no início de setembro. O código malicioso é acionado pela instrução “import” no arquivo init.py. O primeiro estágio do malware reside no módulo processador.py.
De acordo com as informações, o código decodifica e recupera um script shell (“unmi.sh”) de um servidor remoto, por sua vez, busca um arquivo de configuração para a atividade de mineração junto com o arquivo CoinMiner hospedado no GitLab.
“Utilizando o script “unmi.sh”, o invasor baixa dois itens críticos no dispositivo do usuário: O primeiro é “config.json”, um arquivo de configuração necessário para executar o programa que será instalado. Este arquivo descreve a configuração de mineração de criptomoeda.
Especificamente, ele determina o algoritmo de mineração, ou seja, randomX, as configurações de recursos do dispositivo para operações de mineração e os “pools” de mineração designados, juntamente com a conta da carteira do beneficiário. O invasor optou por desabilitar o recurso “init-avx2?, presumivelmente para garantir a compatibilidade com dispositivos mais antigos”, de acordo com a análise publicada pela Fortinet.
O segundo componente principal da carga útil é o executável CoinMiner.
Notícias Relacionadas
Futuro incerto para o BcacheFS
Debates acalorados: a suspensão de Kent Overstreet e as reações da comunidade
A suspensão temporária de Kent Overstreet, criador do BcacheFS, provocou uma avalanche de reações na comunidade Linux. Com opiniões divididas, desenvolvedores e membros da comunidade discutem sobre o impacto de suas ações e as consequências para o futuro do projeto no kernel Linux. O desenvolvedor suspenso também comentou em seu blog como tudo aconteceu. Comentários […]
Kent Overstreet
Kent Overstreet comenta suspensão em seu blog
Kent Overstreet, desenvolvedor da inovadora sistema de arquivos BcacheFS, enfrenta um momento delicado em sua carreira como contribuidor do kernel Linux. Sua suspensão temporária pelo comitê de Código de Conduta (CoC) gerou controvérsias sobre a forma como conflitos são geridos dentro da comunidade e levantou questões sobre os processos culturais e técnicos que guiam o […]
Ação dos cibercriminosos
Os atores da ameaça usam o comando “nohup” para executar o executável em segundo plano para garantir que o processo permaneça ativo além da sessão do terminal. Os especialistas notaram que o invasor anexou todas as modificações ao arquivo ~/.bashrc, para manter a persistência sempre que o usuário inicia uma nova sessão do shell Bash.
Esses três pacotes, quando comparados ao “culturestreak”, apresentam estratégias aprimoradas tanto para ocultar sua presença quanto para manter suas funções maliciosas. Uma melhoria importante é a introdução de um estágio extra, onde comandos cruciais para operações maliciosas são armazenados no arquivo “unmi.sh” em um servidor remoto.
Essa tática aumenta as chances de evitar a detecção por soluções de segurança, minimizando o código dentro do pacote PyPI. Também permite uma divulgação mais controlada do código malicioso, simplesmente desativando o servidor que hospeda este script “unmi.sh”.
