Пакет Python 'fabrice' крадет учетные данные AWS

Команда Socket Research Team обнаружила вредоносный пакет Python под названием 'fabrice', который выдает себя за популярную библиотеку автоматизации SSH 'fabric' и крадет учетные данные AWS у ничего не подозревающих разработчиков.

Это открытие подчеркивает сохраняющийся риск доставки вредоносных программ через библиотеки с обманчивыми названиями с открытым исходным кодом, после недавних масштабных атак, направленных на пользователей NPM.

С момента своего появления в репозитории PyPI в 2021 году библиотека 'fabrice' скрытно выуживала учетные данные AWS и накопила более 37 000 загрузок.

Легальная библиотека 'fabric ', созданная разработчиком bitprophet, имеет более 201 миллиона загрузок и завоевала доверие разработчиков по всему миру. Однако «fabrice» стремится воспользоваться этим доверием с помощью полезных нагрузок, предназначенных для кражи учетных данных, создания бэкдоров и выполнения команд на определенных платформах.

В отчете Socket рассматривается вредоносная деятельность 'fabrice' в системах Linux и Windows, предлагаются сведения о его тактике и стратегии, которые помогут снизить уровень подобных угроз.

Незаконный 'fabrice' использует различные стратегии для выполнения своих вредоносных операций в зависимости от базовой операционной системы, будь то Linux или Windows. Подробный анализ этих операций раскрывает его сложные и зловещие замыслы.

Linux

В системах Linux «fabrice» использует функцию `linuxThread()`, которая используется для загрузки, декодирования и выполнения скриптов с внешнего сервера. Она специально нацелена на скрытые каталоги и использует методы обфускации, чтобы избежать обнаружения.

Функция `linuxThread()` пытается создать скрытый каталог (`~/.local/bin/vscode`) для хранения загруженной вредоносной полезной нагрузки, что затрудняет обнаружение аномалий.

Для загрузки скриптов используется обфусцированный URL, составленный путем конкатенации строк, для подключения к IP-адресу (89.44.9.227, связанному с VPN-сервером M247 в Париже). Полученный текст затем разбирается на несколько исполняемых файлов, хранящихся в скрытом каталоге.

Установив права на выполнение, функция запускает один из этих скриптов (`per.sh`), что потенциально позволяет злоумышленникам выполнять команды с привилегиями пользователя.

Windows

Для платформ Windows 'fabrice' использует функцию `winThread()`, которая опирается на base64-кодированные полезные нагрузки для создания механизма выполнения и сохранения вредоносных скриптов.

Внутри этой функции находятся две ключевые полезные нагрузки в base64-кодировке, обозначенные как 'vv' и 'zz', каждая из которых декодируется для выполнения определенных вредоносных задач:

• 'vv': После декодирования 'vv' генерирует VBScript (`p.vbs`), который скрытно запускает скрытый Python-скрипт (`d.py`) без согласия пользователя. VBScript использует объект `WScript.Shell` для сокрытия ошибок выполнения, позволяя вредоносным действиям продолжаться бесконтрольно.
• 'zz': Полезная нагрузка 'zz' развивает угрозу, загружая предполагаемый исполняемый файл ('chrome.exe') с сервера злоумышленника (с того же IP) и сохраняя его в папке Downloads. Затем он устанавливает постоянство, создавая запланированную задачу ('chromeUpdate'), которая выполняет файл через регулярные 15-минутные интервалы. Впоследствии он удаляет исходный скрипт `d.py`, чтобы оставить меньше следов своей деятельности.

Эксфильтрация учетных данных AWS

Основной целью «fabrice», по-видимому, является кража учетных данных AWS. Пакет использует библиотеку `boto3` для сбора ключей доступа и секретных ключей AWS, которые затем передаются на удаленный сервер. Получив эти учетные данные, злоумышленники потенциально могут открыть доступ к важным облачным ресурсам.

Эти данные, передаваемые на конечную точку VPN, помогают скрыть происхождение атаки и облегчают использование украденных учетных данных без возможности отследить личность злоумышленника.

Признавая серьезную опасность, которую представляет 'fabrice', исследовательская группа Socket сообщила о вредоносном пакете команде PyPI для его удаления. Socket призывает разработчиков сохранять бдительность, тщательно проверять зависимости и использовать средства обнаружения угроз для предотвращения несанкционированных вторжений в критически важные среды.