Aggiornamenti recenti Ottobre 10th, 2024 5:00 PM
Set 12, 2024 Marina Londei Attacchi, In evidenza, News, RSS 0
I ricercatori di ReversingLabs hanno identificato alcune attività malevole che sfruttavano un finto password manager per distribuire malware tra gli sviluppatori. Secondo il team della compagnia, gli attacchi sarebbero legati a VMConnect, una campagna attiva da oltre un anno legata al gruppo hacker nord coreano Lazarus Group.
A partire da agosto 2023, il gruppo ha caricato numerosi pacchetti malevoli sul repository PyPI; i pacchetti contenevano un malware che, una volta eseguito e installato sul dispositivo della vittima, comunicava col serve degli attaccanti per scaricare altri payload malevoli.
Il codice del malware diretto agli sviluppatori era contenuto nei moduli pyperclip e pyrebase del progetto, precisamente nei file _init_.py e rispettivi compilati, come stringa codificata in Base64 che nasconde il downloader. Il codice malevolo effettuava una richiesta HTTP al server controllato dagli attaccanti ed esegue i comandi Python che riceveva in risposta.
Le ultime attività identificate sfruttavano questo stesso meccanismo per distribuire malware, anche se in questo caso il payload iniziale veniva distribuito tramite un progetto Python camuffato da test da superare durante un colloquio di lavoro. I pacchetti malevoli venivano caricati su Github e condivisi con gli sviluppatori candidati da hacker di Lazarus Group che si fingevano recruiter.
Nelle attività analizzate dai ricercatori, il gruppo proponeva agli sviluppatori un archivio chiamato “Python_Skill_Test” in cui c’era un password manager da eseguire e analizzare (contenente il malware) e un README con le istruzioni da seguire per superare il test. Ai candidati veniva chiesto di individuare i bug presenti nel progetto e sistemarli in 15 minuti, per poi effettuare nuovamente la build del software e sottoporre la soluzione entro 10 minuti.
Gli attaccanti giocavano sul senso di urgenza per spingere gli sviluppatori a eseguire il malware contenuto nell’archivio senza lasciargli il tempo di insospettirsi.
Anche se questi attacchi risalgono a oltre sei mesi fa, la campagna è ancora attiva: lo scorso 31 luglio i ricercatori di ReversingLabs hanno individuato alcune attività su uno degli account GitHub usati per distribuire il pacchetto malevolo. Il repository creato a fine luglio è stato notificato come sospetto ed è stato rimosso da GitHub, ma il team di ReversingLabs sta tuttora osservando la nascita di nuovi progetti legati alla campagna.
La battaglia contro VMConnect non sarebbe ancora finita, quindi; per di più, si tratta di un trend che probabilmente continuerà a crescere. “Campagne come questa che sfruttano pacchetti e piattaforme open source per colpire gli sviluppatori, sono una tendenza in crescita tra i gruppi di criminali informatici e hacker supportati dai governi. Il Lazarus Group della Corea del Nord, che si ritiene sia dietro questa campagna, è un buon indicatore di come queste minacce si stiano sviluppando” hanno spiegato i ricercatori.
Per proteggersi da questi attacchi è essenziale ricordarsi di non scaricare file né eseguire codice proveniente da fonti non legittime e utilizzare soluzioni di sicurezza che aiutino a individuare i download sospetti.
Giu 19, 2024 0
Ott 02, 2023 0
Set 06, 2023 0
Ago 17, 2023 0
Ott 10, 2024 0
Ott 10, 2024 0
Ott 09, 2024 0
Ott 09, 2024 0
Ott 10, 2024 0
Negli ultimi anni il numero di campagne di business email...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 09, 2024 0
Acronis ha rilasciato il suo report “Acronis...Ott 03, 2024 0
Dopo essere entrata in vigora il 17 gennaio 2023, la NIS2...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Ott 10, 2024 0
I ricercatori di Jscrambler hanno individuato peculiare...Ott 10, 2024 0
Negli ultimi anni il numero di campagne di businessOtt 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 09, 2024 0
Acronis ha rilasciato il suo report “Acronis...Ott 08, 2024 0
I ricercatori di ESET hanno scoperto le attività di...