RAT daltonico si fa strada su PyPI

È stato scoperto che un pacchetto Python chiamato "colourfool" che è stato caricato su PyPI contiene un ladro di informazioni dannoso e un trojan di accesso remoto.

Il team di Cyber Threat Intelligence di Kroll ha identificato il malware, che hanno chiamato "Colour-Blind". I moduli Python dannosi come colourfool nascondono il loro codice dannoso nello script di installazione e il malware stabilisce la persistenza attraverso uno script Visual Basic mentre utilizza transfer[.]sh per l'esfiltrazione dei dati. Il trojan è in grado di raccogliere password, acquisire schermate, registrare sequenze di tasti, aprire pagine Web arbitrarie, eseguire comandi, acquisire dati di portafoglio crittografico e persino spiare le vittime attraverso le loro webcam.

Il malware è inoltre progettato per eludere il rilevamento controllando l'esecuzione della sandbox e configurando un'applicazione Web Flask per il controllo remoto, che rende accessibile tramite l'utilità di tunnel inverso di Cloudflare "cloudflared". I ricercatori hanno notato la somiglianza tra questa campagna e quella rivelata da Phylum il mese scorso, in cui sei pacchetti fraudolenti sono stati utilizzati per distribuire uno stealer-cum-RAT chiamato poweRAT, che utilizzava anche Flask e Cloudflare per il controllo remoto.

I ricercatori ritengono che queste somiglianze indichino che diversi attori delle minacce condividono idee, risorse o codice, piuttosto che un'evoluzione di una base di codice sviluppata da un singolo attore.

Che cos'è un trojan di accesso remoto?

Un trojan ad accesso remoto (RAT) è un tipo di malware che fornisce a un utente malintenzionato l'accesso non autorizzato al sistema informatico di una vittima. L'attaccante può quindi controllare in remoto il sistema compromesso, consentendogli di rubare dati sensibili, installare altri software dannosi ed eseguire altre attività nefaste. I RAT vengono generalmente inviati tramite e-mail di phishing, social engineering o altri tipi di attacchi di social engineering. Una volta installati, creano una backdoor nel sistema, consentendo all'aggressore di accedere e controllare il computer della vittima da remoto. I RAT vengono spesso utilizzati in attacchi mirati contro individui, organizzazioni e governi e possono essere molto difficili da rilevare e rimuovere.

Come puoi proteggere il tuo sistema da malware simile al RAT daltonico?

Esistono diversi passaggi che puoi eseguire per proteggere il tuo sistema da malware simili a Colour-Dlind RAT:

• Mantieni il sistema e il software aggiornati con le patch e gli aggiornamenti di sicurezza più recenti.
• Usa un software antivirus e mantienilo aggiornato regolarmente.
• Prestare attenzione durante il download e l'installazione di software, soprattutto da fonti non attendibili.
• Utilizza un repository di software affidabile, come PyPI, e rivedi attentamente i dettagli di qualsiasi pacchetto che intendi installare.
• Utilizza un firewall per bloccare il traffico in entrata e limitare il traffico in uscita solo alle applicazioni essenziali.
• Eseguire regolarmente il backup dei dati importanti su un dispositivo esterno o un servizio di archiviazione basato su cloud.