Kleurenblinde RAT kronkelt zich een weg naar PyPI

Er is ontdekt dat een Python-pakket met de naam "colourfool" dat naar PyPI is geüpload, een kwaadaardige informatie-dief en een trojan voor externe toegang bevat.

Het Cyber Threat Intelligence-team van Kroll identificeerde de malware, die ze "Colour-Blind" noemden. Kwaadaardige Python-modules zoals colourfool verbergen hun schadelijke code in het setup-script, en de malware zorgt voor persistentie via een Visual Basic-script terwijl het transfer[.]sh gebruikt voor data-exfiltratie. De trojan is in staat om wachtwoorden te verzamelen, schermafbeeldingen te maken, toetsaanslagen te loggen, willekeurige webpagina's te openen, opdrachten uit te voeren, crypto-portemonneegegevens vast te leggen en zelfs slachtoffers te bespioneren via hun webcams.

De malware is ook ontworpen om detectie te omzeilen door te controleren op sandbox-uitvoering en door een Flask-webapplicatie in te stellen voor bediening op afstand, die toegankelijk wordt gemaakt via Cloudflare's reverse tunnel-hulpprogramma 'cloudflared'. Onderzoekers hebben de gelijkenis opgemerkt tussen deze campagne en de campagne die vorige maand door Phylum werd onthuld, waar zes frauduleuze pakketten werden gebruikt om een stealer-cum-RAT genaamd poweRAT te verspreiden, die ook Flask en Cloudflare gebruikte voor afstandsbediening.

De onderzoekers zijn van mening dat deze overeenkomsten erop wijzen dat verschillende bedreigingsactoren ideeën, middelen of code delen, in plaats van een evolutie van een codebasis die door een enkele actor wordt ontwikkeld.

Wat is een trojan voor externe toegang?

Een Remote Access Trojan (RAT) is een type malware dat een aanvaller ongeoorloofde toegang geeft tot het computersysteem van een slachtoffer. De aanvaller kan vervolgens het gecompromitteerde systeem op afstand besturen, waardoor ze gevoelige gegevens kunnen stelen, andere schadelijke software kunnen installeren en andere kwaadaardige activiteiten kunnen uitvoeren. RAT's worden meestal afgeleverd via phishing-e-mails, social engineering of andere soorten social engineering-aanvallen. Eenmaal geïnstalleerd, creëren ze een achterdeur in het systeem, waardoor de aanvaller op afstand toegang kan krijgen tot de computer van het slachtoffer en deze kan besturen. RAT's worden vaak gebruikt bij gerichte aanvallen op individuen, organisaties en overheden, en ze kunnen erg moeilijk te detecteren en te verwijderen zijn.

Hoe kunt u uw systeem beschermen tegen malware vergelijkbaar met Colour-Blind RAT?

Er zijn verschillende stappen die u kunt nemen om uw systeem te beschermen tegen malware die vergelijkbaar is met de Colour-Blind RAT:

• Houd uw systeem en software up-to-date met de nieuwste beveiligingspatches en updates.
• Gebruik antivirussoftware en houd deze regelmatig bijgewerkt.
• Wees voorzichtig bij het downloaden en installeren van software, vooral van niet-vertrouwde bronnen.
• Gebruik een gerenommeerde software-repository, zoals PyPI, en bekijk zorgvuldig de details van elk pakket dat u wilt installeren.
• Gebruik een firewall om inkomend verkeer te blokkeren en beperk uitgaand verkeer tot alleen essentiële applicaties.
• Maak regelmatig een back-up van uw belangrijke gegevens naar een extern apparaat of cloudgebaseerde opslagservice.