{"id":876641,"date":"2023-11-09T02:00:35","date_gmt":"2023-11-09T02:00:35","guid":{"rendered":"https:\/\/magazineoffice.com\/una-puerta-trasera-altamente-invasiva-se-colo-en-paquetes-de-codigo-abierto-y-apunta-a-desarrolladores\/"},"modified":"2023-11-09T02:00:40","modified_gmt":"2023-11-09T02:00:40","slug":"una-puerta-trasera-altamente-invasiva-se-colo-en-paquetes-de-codigo-abierto-y-apunta-a-desarrolladores","status":"publish","type":"post","link":"https:\/\/magazineoffice.com\/una-puerta-trasera-altamente-invasiva-se-colo-en-paquetes-de-codigo-abierto-y-apunta-a-desarrolladores\/","title":{"rendered":"Una puerta trasera altamente invasiva se col\u00f3 en paquetes de c\u00f3digo abierto y apunta a desarrolladores"},"content":{"rendered":"<p> <br \/>\n<\/p>\n<div itemprop=\"articleBody\">\n<figure class=\"intro-image intro-left\"><figcaption class=\"caption\">\n<p>im\u00e1genes falsas<\/p>\n<\/figcaption><\/figure>\n<aside id=\"social-left\" class=\"social-left\" aria-label=\"Read the comments or share this article\">\n<\/aside>\n<p><!-- cache hit 34:single\/related:1932887372a06f1fd200475004d2f129 --><!-- empty --><\/p>\n<p>El malware altamente invasivo dirigido a los desarrolladores de software est\u00e1 circulando una vez m\u00e1s en bibliotecas de c\u00f3digos troyanizados, y los \u00faltimos se descargaron miles de veces en los \u00faltimos ocho meses, dijeron investigadores el mi\u00e9rcoles.<\/p>\n<p>Desde enero, ocho herramientas de desarrollo independientes han contenido cargas \u00fatiles ocultas con varias capacidades nefastas, inform\u00f3 la firma de seguridad Checkmarx.  El m\u00e1s reciente fue lanzado el mes pasado con el nombre \u00abpyobfgood\u00bb.  Al igual que los siete paquetes que lo precedieron, pyobfgood se present\u00f3 como una herramienta de ofuscaci\u00f3n leg\u00edtima que los desarrolladores podr\u00edan utilizar para disuadir la ingenier\u00eda inversa y la manipulaci\u00f3n de su c\u00f3digo.  Una vez ejecutado, instal\u00f3 una carga \u00fatil, dando al atacante un control casi completo de la m\u00e1quina del desarrollador.  Las capacidades incluyen:<\/p>\n<ul>\n<li aria-level=\"1\">Exfiltrar informaci\u00f3n detallada del host<\/li>\n<li aria-level=\"1\">Robar contrase\u00f1as del navegador web Chrome<\/li>\n<li aria-level=\"1\">Configurar un registrador de teclas<\/li>\n<li aria-level=\"1\">Descargar archivos del sistema de la v\u00edctima.<\/li>\n<li aria-level=\"1\">Capture capturas de pantalla y grabe tanto la pantalla como el audio.<\/li>\n<li aria-level=\"1\">Deje la computadora inoperativa aumentando el uso de la CPU, insertando un script por lotes en el directorio de inicio para apagar la PC o forzando un error BSOD con un script de Python.<\/li>\n<li aria-level=\"1\">Cifrar archivos, potencialmente para pedir rescate<\/li>\n<li aria-level=\"1\">Desactivar Windows Defender y el Administrador de tareas<\/li>\n<li aria-level=\"1\">Ejecute cualquier comando en el host comprometido<\/li>\n<\/ul>\n<p>En total, pyobfgood y las siete herramientas anteriores se instalaron 2348 veces.  Se dirigieron a desarrolladores que utilizan el lenguaje de programaci\u00f3n Python.  Como ofuscadores, las herramientas apuntaban a los desarrolladores de Python con motivos para mantener su c\u00f3digo en secreto porque ten\u00eda capacidades ocultas, secretos comerciales o funciones sensibles.  Las cargas maliciosas variaban de una herramienta a otra, pero todas destacaban por su nivel de intrusi\u00f3n.<\/p>\n<p>\u00abLos diversos paquetes que examinamos muestran una variedad de comportamientos maliciosos, algunos de los cuales se parecen a los encontrados en el paquete &#8216;pyobfgood'\u00bb, escribi\u00f3 en un correo electr\u00f3nico el investigador de seguridad de Checkmarx, Yehuda Gelb.  \u201cSin embargo, sus funcionalidades no son del todo id\u00e9nticas.  Muchos comparten similitudes, como la capacidad de descargar malware adicional desde una fuente externa y robar datos\u00bb.<\/p>\n<aside class=\"ad_wrapper\" aria-label=\"In Content advertisement\">\n    <span class=\"ad_notice\">Anuncio <\/span>    <\/p>\n<\/aside>\n<p>Las ocho herramientas utilizaron la cadena \u00abpyobf\u00bb como los primeros cinco caracteres en un intento de imitar herramientas ofuscadoras genuinas como pyobf2 y pyobfuscator.  Los otros siete paquetes fueron:<\/p>\n<ul>\n<li aria-level=\"1\">Pyobftoexe<\/li>\n<li aria-level=\"1\">archivo pyobfus<\/li>\n<li aria-level=\"1\">Pyobfejecutar<\/li>\n<li aria-level=\"1\">Pyobfpremium<\/li>\n<li aria-level=\"1\">Pyobvuelo<\/li>\n<li aria-level=\"1\">Pyobfadvance<\/li>\n<li aria-level=\"1\">Pyobfuse<\/li>\n<\/ul>\n<p>Si bien Checkmarx se centr\u00f3 principalmente en pyobfgood, la compa\u00f1\u00eda proporcion\u00f3 un cronograma de lanzamiento para los ocho.<\/p>\n<figure class=\"image shortcode-img center large\" style=\"width:100%\"><img loading=\"lazy\" decoding=\"async\" alt=\"Una l\u00ednea de tiempo que muestra el lanzamiento de las ocho herramientas de ofuscaci\u00f3n maliciosas.\" src=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2023\/11\/blazestealer-timeline-640x602.webp\" width=\"640\" height=\"602\" srcset=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2023\/11\/blazestealer-timeline.webp 2x\"\/><figcaption class=\"caption\">\n<div class=\"caption-text\">Agrandar <span class=\"sep\">\/<\/span> Una l\u00ednea de tiempo que muestra el lanzamiento de las ocho herramientas de ofuscaci\u00f3n maliciosas.<\/div>\n<p>jaquemarx<\/p>\n<\/figcaption><\/figure>\n<p>Pyobfgood instal\u00f3 la funcionalidad del bot que funcion\u00f3 con un servidor de Discord identificado con la cadena:<\/p>\n<p><code>MTE2NTc2MDM5MjY5NDM1NDA2MA.GRSNK7.OHxJIpJoZxopWpFS3zy5v2g7k2vyiufQ183Lo<\/code><\/p>\n<p>No hab\u00eda indicios de que hubiera alg\u00fan problema en la computadora infectada.  Sin embargo, detr\u00e1s de escena, la carga maliciosa no solo se entromet\u00eda en algunos de los momentos m\u00e1s privados del desarrollador, sino que al mismo tiempo se burlaba silenciosamente del desarrollador en los comentarios del c\u00f3digo fuente.  Checkmarx explic\u00f3:<\/p>\n<blockquote>\n<p>El bot de Discord incluye un comando espec\u00edfico para controlar la c\u00e1mara de la computadora.  Lo logra descargando discretamente un archivo zip desde un servidor remoto, extrayendo su contenido y ejecutando una aplicaci\u00f3n llamada WebCamImageSave.exe.  Esto permite al robot capturar una foto en secreto usando la c\u00e1mara web.  Luego, la imagen resultante se env\u00eda de regreso al canal Discord, sin dejar evidencia de su presencia despu\u00e9s de eliminar los archivos descargados.<\/p>\n<figure class=\"image shortcode-img center large\" style=\"width:100%\"><img loading=\"lazy\" decoding=\"async\" alt=\"Una visualizaci\u00f3n de varios comentarios dej\u00f3 el c\u00f3digo fuente.  Entre ellos, \" stop=\"\" listening=\"\" to=\"\" background=\"\" music=\"\" src=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2023\/11\/discord-bot-messages-640x724.png\" width=\"640\" height=\"724\" srcset=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2023\/11\/discord-bot-messages.png 2x\"\/><figcaption class=\"caption\">\n<div class=\"caption-text\">Agrandar <span class=\"sep\">\/<\/span> Una visualizaci\u00f3n de varios comentarios dej\u00f3 el c\u00f3digo fuente.  Entre ellas, \u00abdejar de escuchar m\u00fasica de fondo para [incomplete]\u00bb<\/div>\n<p>jaquemarx<\/p>\n<\/figcaption><\/figure>\n<p>Entre estas funciones maliciosas, el humor malicioso del bot emerge a trav\u00e9s de mensajes que ridiculizan la inminente destrucci\u00f3n de la m\u00e1quina comprometida.  \u00abTu computadora va a empezar a quemarse, buena suerte. :)\u00bb y \u00abTu computadora va a morir ahora, buena suerte para recuperarla :)\u00bb<\/p>\n<p>Pero bueno, al menos hay un emotic\u00f3n al final de estos mensajes.<\/p>\n<p>Estos mensajes no s\u00f3lo resaltan las intenciones maliciosas sino tambi\u00e9n la audacia de los atacantes.<\/p>\n<figure class=\"image shortcode-img center large\" style=\"width:100%\"><img loading=\"lazy\" decoding=\"async\" alt=\"M\u00e1s c\u00f3digo fuente con comentarios.\" src=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2023\/11\/source-code-01-640x241.webp\" width=\"640\" height=\"241\" srcset=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2023\/11\/source-code-01.webp 2x\"\/><figcaption class=\"caption\">\n<div class=\"caption-text\">Agrandar <span class=\"sep\">\/<\/span> M\u00e1s c\u00f3digo fuente con comentarios.<\/div>\n<p>jaquemarx<\/p>\n<\/figcaption><\/figure>\n<figure class=\"image shortcode-img center large\" style=\"width:100%\"><img loading=\"lazy\" decoding=\"async\" alt=\"M\u00e1s comentarios sobre el c\u00f3digo fuente.\" src=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2023\/11\/source-code-02-640x492.webp\" width=\"640\" height=\"492\" srcset=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2023\/11\/source-code-02.webp 2x\"\/><figcaption class=\"caption\">\n<div class=\"caption-text\">Agrandar <span class=\"sep\">\/<\/span> M\u00e1s comentarios sobre el c\u00f3digo fuente.<\/div>\n<p>jaquemarx<\/p>\n<\/figcaption><\/figure>\n<\/blockquote>\n<p>Las descargas del paquete provinieron principalmente de EE.UU. (62 por ciento), seguidas de China (12 por ciento) y Rusia (6 por ciento).  \u00abEs l\u00f3gico que los desarrolladores involucrados en la ofuscaci\u00f3n de c\u00f3digo probablemente est\u00e9n tratando con informaci\u00f3n valiosa y sensible y, por lo tanto, para un hacker, esto se traduce en un objetivo que vale la pena perseguir\u00bb, escribieron los investigadores de Checkmarx.<\/p>\n<aside class=\"ad_wrapper\" aria-label=\"In Content advertisement\">\n    <span class=\"ad_notice\">Anuncio <\/span>    <\/p>\n<\/aside>\n<p>Esta no es la primera vez que se detecta malware en software de c\u00f3digo abierto que imita los nombres de paquetes originales.  Uno de los primeros casos documentados se produjo en 2016, cuando un estudiante universitario subi\u00f3 scripts incompletos a RubyGems, PyPi y NPM, que son sitios web comunitarios para desarrolladores de los lenguajes de programaci\u00f3n Python, Ruby y JavaScript, respectivamente.  Una funci\u00f3n de tel\u00e9fono a casa en los guiones de los estudiantes mostr\u00f3 que el c\u00f3digo impostor se ejecut\u00f3 m\u00e1s de 45.000 veces en m\u00e1s de 17.000 dominios separados, y m\u00e1s de la mitad de las veces su c\u00f3digo recibi\u00f3 derechos administrativos todopoderosos.  Dos de los dominios afectados terminaban en .mil, una indicaci\u00f3n de que personas dentro del ej\u00e9rcito estadounidense hab\u00edan ejecutado su script.  Poco despu\u00e9s de que esta prueba de concepto demostrara la eficacia de la estrategia, los atacantes del mundo real adoptaron la t\u00e9cnica en una serie de env\u00edos maliciosos de c\u00f3digo abierto que contin\u00faan hasta el d\u00eda de hoy.  El flujo interminable de ataques deber\u00eda servir como advertencia y subrayar la importancia de examinar cuidadosamente un paquete antes de permitir que se ejecute.<\/p>\n<p>Las personas que quieran comprobar si han sido atacados pueden buscar en sus m\u00e1quinas la presencia de cualquiera de los ocho nombres de herramientas, la cadena \u00fanica del servidor de Discord y las URL hxxps.[:]\/\/transferir[.]sh\/get\/wDK3Q8WOA9\/inicio[.]py y hxxps[:]\/\/www[.]nirsoft[.]net\/utils\/webcamimagesave.zip.<\/p>\n<\/p><\/div>\n<p><br \/>\n<br \/><a href=\"https:\/\/magazineoffice.com\/\">Source link-49<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>im\u00e1genes falsas El malware altamente invasivo dirigido a los desarrolladores de software est\u00e1 circulando una vez m\u00e1s en bibliotecas de c\u00f3digos troyanizados, y los \u00faltimos se descargaron miles de veces&hellip;<\/p>\n","protected":false},"author":1,"featured_media":876642,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[21980],"tags":[1454,26553,4080,8674,61973,1783,83451,5021,5472,15863,73],"_links":{"self":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/876641"}],"collection":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/comments?post=876641"}],"version-history":[{"count":1,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/876641\/revisions"}],"predecessor-version":[{"id":876643,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/876641\/revisions\/876643"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/media\/876642"}],"wp:attachment":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/media?parent=876641"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/categories?post=876641"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/tags?post=876641"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}