リモート・アクセス・トロイジャン（RAT）マルウェアでDiscord開発者を標的にした悪質なPythonパッケージが、3年以上ぶりにPython Package Index（PyPI）で発見された。
discordpydebug」と名付けられたこのパッケージは、Discordボットの開発に携わる開発者向けのエラーロガーユーティリティを装っており、説明やドキュメントがないにもかかわらず、2022年3月21日にアップロードされて以来、11,000回以上ダウンロードされていた。
最初にこのマルウェアを発見したサイバーセキュリティ企業Socketによると、このマルウェアはDiscord開発者のシステムをバックドア化し、攻撃者にデータ窃盗とリモートコード実行機能を提供するために使用される可能性があるという。
“このパッケージは、Discordボットを構築または保守している開発者をターゲットにしており、一般的にはインディーズ開発者、自動化エンジニア、または広範な精査なしにそのようなツールをインストールする可能性のある小規模なチームである “とSocketの研究者は述べている。
“PyPIはアップロードされたパッケージの詳細なセキュリティ監査を実施していないため、攻撃者は誤解を招くような説明や正当な響きの名前を使用したり、信頼できるように見せるために人気のあるプロジェクトからコードをコピーしたりすることで、これを利用することがよくあります。”
悪意のあるパッケージがインストールされると、デバイスは遠隔操作可能なシステムに変換され、攻撃者が管理するコマンド・アンド・コントロール（C2）サーバーから送信された命令を実行するようになる。
攻撃者はこのマルウェアを使用して、認証情報やその他の情報（トークン、キー、設定ファイルなど）に不正アクセスしたり、検知されずにデータを盗んだり、システムの活動を監視したり、さらなるマルウェアのペイロードを展開するためのコードをリモートで実行したり、ネットワーク内で横方向に移動するのに役立つ情報を入手したりすることができます。
このマルウェアには永続性や特権昇格の仕組みはありませんが、インバウンド接続の代わりにアウトバウンドHTTPポーリングを使用するため、特に緩く制御された開発環境では、ファイアウォールやセキュリティソフトウェアを回避することが可能です。
インストールされると、このパッケージは攻撃者が管理するコマンド＆コントロール（C2）サーバー（backstabprotection.jamesx123.repl[.]co）に静かに接続し、感染したホストを攻撃者のインフラストラクチャに追加するための「name」値のPOSTリクエストを送信します。
また、このマルウェアには、C2サーバーからの特定のキーワードをトリガーとして、JSONオペレーションを使用してホストマシン上のファイルから読み取ったり、ファイルに書き込んだりする機能も含まれており、脅威行為者は機密データを可視化することができます。
オンライン・コード・リポジトリからバックドアされたマルウェアをインストールするリスクを軽減するため、ソフトウェア開発者は、ダウンロードおよびインストールするパッケージが公式作者によるものであることを、特に人気のあるものについてはインストール前に確認し、タイポスクワッティングを回避する必要がある。
さらに、オープンソースのライブラリを使用する場合は、疑わしい関数や難読化された関数がないかコードを確認し、悪意のあるパッケージを検出してブロックするためのセキュリティツールの使用を検討する必要があります。
.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：10px 20px; width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; text-align: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px; width: 100%; } .ia_button { width: 100%; } .
攻撃の93%を支えるMITRE ATT&CK©テクニック・トップ10
1,400万件の悪意のあるアクションの分析に基づき、攻撃の93%を支えるMITRE ATT&CKテクニックのトップ10とその防御方法をご覧ください。
Comments