Pesquisadores descobrem 29 pacotes PyPI maliciosos direcionados a desenvolvedores com o W4SP Stealer

Pesquisadores de segurança cibernética descobriram 29 pacotes no Python Package Index (PyPI), o repositório oficial de software de terceiros para a linguagem de programação Python, que visa infectar as máquinas dos desenvolvedores com um malware chamado W4SP Stealer.

“O ataque principal parece ter começado por volta de 12 de outubro de 2022, lentamente ganhando força para um esforço concentrado por volta de 22 de outubro”, disse a empresa de segurança da cadeia de suprimentos de software Phylum em um relatório publicado esta semana.

A lista de pacotes ofensivos é a seguinte: typesutil, typestring, sutiltype, duonet, fatnoob, strinfer, pydprotect, incrivelsim, twyne, pyptext, installpy, faq, colorwin, requests-httpx, colorsama, shaasigma, stringe, felpesviadinho, cypress, pystyte , pyslyte, pystyle, pyurllib, algorítmica, oiu, iao, curlapi, type-color e pyhints.

Coletivamente, os pacotes foram baixados mais de 5.700 vezes, com algumas das bibliotecas (por exemplo, twyne e colorsama) contando com typosquatting para enganar usuários desavisados ​​para baixá-los.

Os módulos fraudulentos redirecionam as bibliotecas legítimas existentes inserindo uma instrução de importação maliciosa no script "setup.py" dos pacotes para iniciar um pedaço de código Python que busca o malware de um servidor remoto.

O W4SP Stealer, um trojan de código aberto baseado em Python, vem com recursos para furtar arquivos de interesse, senhas, cookies do navegador, metadados do sistema, tokens Discord, bem como dados das carteiras de criptomoedas MetaMask, Atomic e Exodus.

Esta não é a primeira vez que o W4SP Stealer é entregue através de pacotes aparentemente benignos no repositório PyPI. Em agosto, a Kaspersky descobriu duas bibliotecas chamadas pyquest e ultrarequests que foram encontradas para implantar o malware como uma carga útil final.

As descobertas ilustram o abuso contínuo de ecossistemas de código aberto para propagar pacotes maliciosos projetados para coletar informações confidenciais e abrir caminho para ataques à cadeia de suprimentos.

“Como este é um ataque contínuo com táticas em constante mudança de um invasor determinado, suspeitamos ver mais malwares como esse surgindo em um futuro próximo”, observou Phylum.