🔍 Новая киберугроза: вредоносный Python пакет с Golang-версией Sliver, спрятанный в PNG-изображении

👨‍🏫 Исследователи в области кибербезопасности выявили вредоносный пакет на языке Python, который выдает себя за отдельный модуль популярной библиотеки requests и скрывает внутри себя Golang-версию фреймворка управления командами Sliver в формате PNG-изображения логотипа проекта.

🛠 Пакет называется requests-darwin-lite и был скачан 417 раз до его удаления из реестра Python Package Index (PyPI). На первый взгляд, Requests-darwin-lite кажется форком популярного пакета requests, однако содержит вредоносный код.

⬇️ Изменения были внесены в файл setup.py, который был настроен на декодирование и выполнение команды, закодированной в Base64, для сбора уникального идентификатора устройства (UUID).

❓ Интересно, что дальнейшее заражение продолжается только в случае совпадения идентификатора с определенным значением UUID, что указывает на то, что авторы пакета пытаются взломать определенную машину, к которой они уже имеют доступ.

🧐 Возможны два варианта: либо это высокоточная атака, либо это некий вид тестирования перед более широкой кампанией.

🖼 Если UUID совпадает, то requests-darwin-lite переходит к чтению данных из зараженного файла PNG с названием "requests-sidebar-large.png". Принцип работы схож с легитимным пакетом requests, поскольку тот также содержит файл с названием "requests-sidebar.png".

😱 Учитывая, что огромное количество компаний используют Open Source ПО, данный кейс, наряду с  недавними событиями с XZ Utils, вызывает тревогу.

Stay secure and read SecureTechTalks 📚

#Python #Golang #Sliver #ВредоносныйПакет