Botaa3 Malware réside dans de faux packages Python PyPi
Dernièrement, de plus en plus de cybercriminels ont implanté leurs logiciels malveillants dans des référentiels de scripts, de modules complémentaires de navigateur ou d'autres types de contenu. L'un des exemples récents de ceci est le logiciel malveillant botaa3, qui semble résider dans un package PyPi malveillant. PyPi, ou Python Package Index, est un référentiel pour des millions d'extraits de code et de scripts Python que les développeurs partagent entre eux. Bien sûr, le botaa3 Malware n'est pas un script légitime - il exécute des tâches malveillantes s'il est exécuté sur un système non protégé.
Les créateurs du logiciel malveillant botaa3 imitent le nom de l'un des packages PyPi les plus populaires - boto3. Le logiciel malveillant botaa3 est livré dans un package PyPi fortement obscurci, qui repose sur le cryptage XOR. Mais que cache la charge utile ?
Le contenu du logiciel malveillant botaa3
Une fois le script lancé, il se connectera au serveur de l'attaquant qui utilise également un nom de domaine trompeur – install.pypi-installer.com . Le serveur de contrôle reçoit des informations de l'implant :
- L'adresse IP et Mac de la victime.
- La version du système d'exploitation.
- Nom d'utilisateur et nom d'hôte.
- L'ID de processus de la charge utile.
L'attaquant est capable de contrôler le Botaa3 Malware via des commandes envoyées à distance. Le malware est capable de charger et de télécharger des fichiers, de gérer le système de fichiers, d'exécuter des commandes à distance et de charger des scripts Python supplémentaires. Cela signifie que le logiciel malveillant botaa3 peut être très flexible en termes de fonctionnalités, améliorant encore son potentiel d'attaque.
La protection de votre système contre les logiciels malveillants botaa3 et les charges utiles similaires nécessite l'utilisation d'un logiciel antivirus à jour. Assurez-vous également de toujours télécharger du contenu à partir de sources fiables – comme vous pouvez le constater, les criminels imitent souvent les noms de sites, services et fichiers légitimes.
