Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Em uma recente revelação sobre segurança cibernética, o Python Package Index (PyPI) foi alvo da infiltração de três pacotes maliciosos: modularseven, driftme e catme. Esses pacotes, embora já tenham sido removidos, conseguiram acumular um número preocupante de 431 downloads no último mês, representando uma ameaça significativa à segurança dos dispositivos Linux.
A conexão com a mineração de criptomoedas
Os pesquisadores Gabby Xiong, do FortiGuard Labs da Fortinet, descobriram, após uma análise mais detalhada, que esses pacotes são semelhantes a um que foi utilizado em uma campanha anterior chamada “culturestreak”. Assim como na campanha anterior, esses pacotes maliciosos instalam um executável do CoinMiner em dispositivos Linux logo na primeira utilização, tornando a mineração de criptomoedas a principal ameaça.
Esses pacotes maliciosos do PyPI conseguem ocultar sua carga útil, reduzindo a detectabilidade de seu código malicioso. O principal método consiste em hospedar a carga útil em uma URL remota, especificamente no arquivo init.py. Esse arquivo decodifica e recupera o estágio inicial de um servidor remoto, obtendo um script de shell chamado “unmi.sh”, responsável por buscar um arquivo de configuração e o executável do CoinMiner hospedado no GitLab.
Execução e persistência
O arquivo binário ELF é então executado em segundo plano usando o comando nohup, garantindo a continuidade do processo mesmo após o usuário encerrar a sessão. Vale destacar que esses pacotes apresentam uma melhoria em relação ao pacote culturestreak ao introduzirem uma etapa adicional. Essa camada adicional oculta suas intenções maliciosas dentro do script de shell, aumentando sua capacidade de escapar da detecção por softwares de segurança e prolongando o processo de exploração.
O fato de os executáveis de mineração de criptomoedas estarem hospedados em um repositório público do GitLab e o arquivo de configuração estar no domínio papiculo[.]net revelam as ligações com o pacote culturestreak. Essa conexão destaca um padrão preocupante na distribuição de pacotes maliciosos com origens comuns, ressaltando a necessidade de maior conscientização entre os desenvolvedores de Python.
Além disso, a inserção de comandos maliciosos no arquivo ~/.bashrc desses pacotes do PyPI garante a persistência e a reativação do malware no dispositivo do usuário. Essa estratégia permite uma exploração prolongada e furtiva do dispositivo do usuário em benefício do invasor.
Conclusão
A descoberta desses pacotes maliciosos no PyPI ressalta a sofisticação cada vez maior das ameaças cibernéticas direcionadas ao ecossistema de desenvolvimento do Python. Desenvolvedores e especialistas em segurança devem permanecer vigilantes, implementando medidas robustas para detectar e impedir a infiltração de pacotes maliciosos.
As fontes deste artigo incluem uma matéria publicada no TheHackerNews.
