⁣🌐 Pacchetto PyPI: fornisce malware Linux senza file

I ricercatori di Sonatype hanno scoperto un nuovo pacchetto PyPI chiamato secretslib che rilascia cryptominer senza file nella memoria dei sistemi di macchine Linux.

Il pacchetto preleva un eseguibile Linux da un server remoto e lo esegue per rilasciare un file ELF (memfd) direttamente in memoria. È un minatore di criptovalute Monero probabilmente creato tramite la chiamata di sistema memfed create.

Questo sistema consente ai programmatori di rilasciare file “anonimi” nella RAM invece di scrivere i file su disco. Poiché il passaggio intermedio dell'output del file dannoso sul disco rigido viene saltato, potrebbe non essere così facile per i prodotti antivirus rilevare in modo proattivo il malware senza file, che risiede nella memoria volatile di un sistema, sebbene l'operazione non sia certamente impossibile.

Inoltre, dal momento che il pacchetto secretslib elimina 'tox' non appena viene eseguito e il codice di cryptomining iniettato da 'tox' risiede all'interno della memoria volatile (RAM) del sistema rispetto al disco rigido, l'attività dannosa lascia poco o nessun impronta ed è abbastanza invisibile in senso forense.

È interessante notare che gli attori delle minacce dietro il "secretslib" hanno utilizzato il nome di un ingegnere che lavora per l'Argonne National Laboratory, un laboratorio di ricerca scientifica e ingegneristica con sede nell'Illinois gestito da UChicago Argonne LLC per il Dipartimento dell'Energia degli Stati Uniti .