Python Ransomware ataca instancias expuestas de Jupyter Notebook

Python no es un lenguaje de programación típicamente asociado con ransomware. La mayoría de los kits de herramientas de ransomware están codificados en diferentes idiomas. Sin embargo, a finales de 2021 se descubrió una nueva variedad de ransomware escrita en Python. El ransomware basado en Python ahora se está utilizando en una nueva campaña de ataque, dirigida a la plataforma Jupyter Notebook.

Jupyter Notebook es una plataforma informática interactiva basada en la web, comúnmente utilizada para visualizaciones de varios tipos de datos.

Un equipo de investigación de Aqua Security descubrió el nuevo ataque utilizando la variedad de ransomware basada en Python.

Expuestos y mal configurados dirigidos a instancias

La forma en que la nueva campaña encuentra a sus víctimas es relativamente simple. Los actores de amenazas detrás de la campaña buscan entornos de Jupyter Notebook que se han dejado sin protección debido a una configuración deficiente.

El equipo de Aqua Security configuró un entorno de prueba, dejando la instancia de Jupyter Notebook expuesta y sin protección a propósito. El actor de amenazas ingresó a la instancia operada por el investigador y descargó una serie de herramientas maliciosas en el servidor usando comandos de terminal. En un paso sorprendentemente laborioso, dada la forma en que funcionan la mayoría de las campañas de malware, los piratas informáticos generaron un script de Python manualmente y lo usaron para ejecutar la carga del ransomware.

Aunque los piratas informáticos probablemente se dieron cuenta de que estaban trabajando en un sistema trampa y no en un objetivo real y no terminaron el ataque, los investigadores creen que saben lo suficiente como para descubrir cómo es la cadena de ataque completa.

Es probable que el ransomware Python todavía esté en fase de prueba

La carga útil encripta los archivos primero, luego elimina las copias no encriptadas y luego el script utilizado para iniciar el ransomware también. La ausencia de una nota de rescate y cualquier tipo de demanda monetaria como parte del proceso probablemente indica que el ransomware aún se está probando y mejorando.

La naturaleza de los entornos de Jupyter Notebook como objetivos hace que los ataques de ransomware de Python sean peligrosos. Los datos manejados y procesados por el entorno de Jupyter Notebook al que se dirige pueden ser de naturaleza confidencial y provocar daños significativos a la entidad que trabaja con ellos.