Gefährliche Python-Pakete auf PyPI: Über 39.000 Downloads von Schadsoftware

MÜNCHEN (IT BOLTWISE) – In der Welt der Softwareentwicklung sind Sicherheitslücken und Cyberangriffe allgegenwärtig. Jüngste Entdeckungen von Sicherheitsforschern haben gezeigt, dass selbst vertrauenswürdige Plattformen wie das Python Package Index (PyPI) nicht immun gegen bösartige Aktivitäten sind.

Cybersicherheitsforscher haben kürzlich schädliche Bibliotheken im Python Package Index (PyPI) aufgedeckt, die darauf abzielen, sensible Informationen zu stehlen. Zwei der Pakete, bitcoinlibdbfix und bitcoinlib-dev, tarnen sich als Korrekturen für kürzlich entdeckte Probleme in einem legitimen Python-Modul namens bitcoinlib. Ein weiteres Paket, disgrasya, enthält ein vollautomatisiertes Skript zum Kreditkartenbetrug, das auf WooCommerce-Shops abzielt. Diese Pakete wurden laut Statistiken von pepy.tech hunderte Male heruntergeladen, bevor sie entfernt wurden. Die bösartigen Bibliotheken versuchen, den legitimen ‘clw cli’-Befehl mit Schadcode zu überschreiben, der versucht, sensible Datenbankdateien zu exfiltrieren. Interessanterweise sollen die Autoren der gefälschten Bibliotheken an einer GitHub-Diskussion teilgenommen und erfolglos versucht haben, ahnungslose Nutzer zu täuschen, indem sie den angeblichen Fix herunterluden und die Bibliothek ausführten. Disgrasya hingegen wurde als offen bösartig befunden, ohne jegliche Anstrengung, seine Funktionalität zum Kreditkartenbetrug zu verbergen. Der bösartige Payload wurde in Version 7.36.9 eingeführt, und alle nachfolgenden Versionen enthielten dieselbe eingebettete Angriffslogik. Kreditkartenbetrug, auch als Carding bekannt, bezieht sich auf eine automatisierte Form des Zahlungsbetrugs, bei der Betrüger eine Liste gestohlener Kredit- oder Debitkarteninformationen gegen das Zahlungssystem eines Händlers testen, um kompromittierte oder gestohlene Kartendaten zu verifizieren. Es fällt unter eine breitere Angriffskategorie, die als automatisierter Transaktionsmissbrauch bezeichnet wird. Eine typische Quelle für gestohlene Kreditkartendaten ist ein Carding-Forum, in dem Kreditkartendetails, die von Opfern durch verschiedene Methoden wie Phishing, Skimming oder Stealer-Malware gestohlen wurden, zum Verkauf an andere Bedrohungsakteure angeboten werden, um kriminelle Aktivitäten weiterzuführen. Sobald sie als aktiv befunden werden (d. h. nicht als verloren, gestohlen oder deaktiviert gemeldet), verwenden Betrüger sie, um Geschenkkarten oder Prepaid-Karten zu kaufen, die dann mit Gewinn weiterverkauft werden. Bedrohungsakteure sind auch dafür bekannt, zu testen, ob die Karten gültig sind, indem sie kleine Transaktionen auf E-Commerce-Websites versuchen, um zu vermeiden, dass sie von den Karteninhabern als Betrug gemeldet werden. Das von Socket identifizierte bösartige Paket ist darauf ausgelegt, gestohlene Kreditkarteninformationen zu validieren, insbesondere Händler anzugreifen, die WooCommerce mit CyberSource als Zahlungsgateway verwenden. Das Skript erreicht dies, indem es die Aktionen eines legitimen Einkaufs simuliert, ein Produkt findet, es in den Warenkorb legt, zur WooCommerce-Kassenseite navigiert und das Zahlungsformular mit zufälligen Rechnungsdetails und den gestohlenen Kreditkartendaten ausfüllt. Durch die Nachahmung eines echten Checkout-Prozesses soll die Gültigkeit der geplünderten Karten getestet und die relevanten Details, wie die Kreditkartennummer, das Ablaufdatum und die CVV, an einen externen Server unter der Kontrolle des Angreifers (‘railgunmisaka[.]com’) exfiltriert werden, ohne die Aufmerksamkeit von Betrugserkennungssystemen zu erregen. Während der Name bei Muttersprachlern die Augenbrauen hochziehen könnte (‘disgrasya’ ist philippinischer Slang für ‘Katastrophe’ oder ‘Unfall’), ist es eine treffende Charakterisierung eines Pakets, das einen mehrstufigen Prozess ausführt, der die Reise eines legitimen Käufers durch einen Online-Shop nachahmt, um gestohlene Kreditkarten gegen echte Kassensysteme zu testen, ohne Betrugserkennung auszulösen. Indem diese Logik in ein auf PyPI veröffentlichtes Python-Paket eingebettet wurde, das über 34.000 Mal heruntergeladen wurde, schuf der Angreifer ein modulares Werkzeug, das leicht in größeren Automatisierungs-Frameworks verwendet werden konnte, wodurch disgrasya ein mächtiges Carding-Utility wurde, das als harmlose Bibliothek getarnt war.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!

Angebot

2.004 Bewertungen

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

• NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.

169,00 EUR

Bei Amazon kaufen