Pacotes Python de malware de criptomoedas se espalhando no Stack Exchange

Reportagens recentes da mídia trouxeram à tona um malware de criptomoedas que está sendo distribuído por meio de pacotes Python em uma plataforma de perguntas e respostas para desenvolvedores, a Stack Exchange. O malware, se ativado, é capaz de esvaziar as carteiras de criptomoedas dos usuários visados. Neste artigo, vamos nos concentrar em como o código funciona, nos pacotes maliciosos envolvidos e em outros aspectos. Vamos começar!

Malware criptográfico em pacotes do Python é descoberto

As campanhas de ataque relacionadas a esse malware de criptomoedas tiveram início em 25 de junho de 2024. Até o momento, os ataques parecem seguir uma abordagem direcionada e têm como alvo usuários de criptomoedas envolvidos com Solana e Raydium.

O malware de criptomoedas foi distribuído a usuários ativamente envolvidos com essas moedas por meio de vários pacotes Python que, juntos, foram baixados mais de 2.000 vezes. Os nomes desses pacotes, juntamente com o número de downloads, incluem:

No que diz respeito aos detalhes dos ataques, o malware de criptografia disseminado por meio desses pacotes maliciosos em Python poderia realizar todas as ações de um programa completo de roubo de informações.

Com essas capacidades, o programa era capaz de obter cookies, dados de cartões de crédito, senhas de navegadores da web e carteiras digitais acessíveis no dispositivo comprometido. Além disso, também podia acessar informações vinculadas a aplicativos de mensagens como o Session, o Telegram e o Signal.

O malware de criptomoedas também era capaz de capturar capturas de tela e procurar arquivos. As informações coletadas eram compactadas e enviadas a dois bots diferentes que o autor da ameaça mantinha no Telegram.

Para agravar ainda mais seu impacto, o programa de roubo de informações também contava com um componente de backdoor. Esse componente foi utilizado pelos agentes maliciosos para manter a persistência e garantir o comprometimento de longo prazo dos dispositivos visados.

Funcionalidade do código do malware de criptomoedas e cadeia de ataque

A cadeia de ataque do malware criptográfico foi dividida em várias etapas, seguindo uma abordagem em múltiplas camadas frequentemente observada no malware PlugX e em outros carregadores sofisticados. Ao longo das etapas, a lista de pacotes “raydium” e os “spl-types” foram utilizados como meios de ocultar o comportamento malicioso e passar uma impressão de legitimidade. Os agentes maliciosos utilizaram o Stack Exchange, uma plataforma de perguntas e respostas para desenvolvedores, para impulsionar os downloads — repetindo táticas semelhantes utilizadas na distribuição do malware ChatGPT por meio de plataformas populares de discussão.

Na plataforma, eles publicavam respostas a perguntas e solicitavam aos desenvolvedores que realizassem transações de swap no Raydium usando Python. Nessa fase, foi garantido o uso de um tópico de alta visibilidade, pois isso permitia que os autores da ameaça maximizassem seu alcance e atingissem mais usuários.

Assim que um pacote malicioso era instalado, o código era executado automaticamente. Em seguida, ocorria uma sequência de eventos pré-configurados que incluía comprometer e controlar o dispositivo da vítima, extrair dados e esvaziar as carteiras de criptomoedas. Vale ressaltar que esta não é a primeira vez que tais táticas são utilizadas.

Em maio de 2024, outro pacote Python chamado pytoileur foi distribuído em uma plataforma diferente de perguntas e respostas chamada Stack Overflow. O objetivo dessas ações maliciosas também era o roubo de criptomoedas. Tais padrões indicam que os invasores estão se aproveitando da confiança existente nas plataformas comunitárias para levar adiante suas intenções maliciosas.

Conclusão

Essa campanha alarmante destaca a crescente ameaça de malware de criptomoedas que tem como alvo desenvolvedores por meio de plataformas confiáveis, como o Stack Exchange. Ao se valerem de pacotes Python, os invasores conseguem extrair dados confidenciais de forma furtiva e esvaziar carteiras de criptomoedas. A vigilância e medidas de segurança robustas são agora essenciais para se proteger contra esses ataques sofisticados, especialmente com o aumento das variantes de malware para Linux que têm como alvo ambientes de desenvolvimento.

As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e no Tech Xpert.