色盲のRATがPyPIに侵入

PyPI にアップロードされた「colourfool」という名前の Python パッケージに、悪意のある情報窃盗プログラムとリモートアクセストロイの木馬が含まれていることが判明しました。

クロールのサイバー脅威インテリジェンスチームは、「カラーブラインド」と呼ばれるマルウェアを特定しました。 colorfool のような悪意のある Python モジュールは、有害なコードをセットアップスクリプトに隠しています。このマルウェアは、データの引き出しに transfer[.]sh を使用している間、Visual Basic スクリプトを介して永続性を確立します。このトロイの木馬は、パスワードの収集、スクリーンショットの取得、キーストロークのログ記録、任意の Web ページのオープン、コマンドの実行、暗号ウォレットデータの取得、さらには Web カメラを介して被害者をスパイすることができます。

このマルウェアは、サンドボックスの実行をチェックし、Flask Web アプリケーションをリモートコントロール用に設定することで検出を回避するようにも設計されており、Cloudflare のリバーストンネルユーティリティ「cloudflared」を介してアクセスできるようにします。研究者は、このキャンペーンと Phylum が先月公開したものとの類似性に注目しています。このキャンペーンでは、リモートコントロールに Flask と Cloudflare も使用する、powerRAT と呼ばれるスティーラー兼 RAT を配布するために 6 つの詐欺パッケージが使用されました。

研究者は、これらの類似性は、単一の攻撃者によって開発されたコードベースの進化ではなく、さまざまな攻撃者がアイデア、リソース、またはコードを共有していることを示していると考えています。

リモートアクセス型トロイの木馬とは?

リモートアクセストロイの木馬 (RAT) は、被害者のコンピュータシステムへの不正アクセスを攻撃者に提供するマルウェアの一種です。その後、攻撃者は侵害されたシステムをリモートで制御し、機密データを盗んだり、他の悪意のあるソフトウェアをインストールしたり、その他の悪意のある活動を実行したりできます。 RAT は通常、フィッシングメール、ソーシャルエンジニアリング、またはその他の種類のソーシャルエンジニアリング攻撃によって配信されます。インストールされると、システムにバックドアを確立し、攻撃者が被害者のコンピューターにリモートでアクセスして制御できるようにします。 RAT は、個人、組織、および政府に対する標的型攻撃で使用されることが多く、検出と削除が非常に困難な場合があります。