Finto password manager usato per distribuire malware tra gli sviluppatori

I ricercatori di ReversingLabs hanno identificato alcune attività malevole che sfruttavano un finto password manager per distribuire malware tra gli sviluppatori. Secondo il team della compagnia, gli attacchi sarebbero legati a VMConnect, una campagna attiva da oltre un anno legata al gruppo hacker nord coreano Lazarus Group.

A partire da agosto 2023, il gruppo ha caricato numerosi pacchetti malevoli sul repository PyPI; i pacchetti contenevano un malware che, una volta eseguito e installato sul dispositivo della vittima, comunicava col serve degli attaccanti per scaricare altri payload malevoli.

Pixabay

Il codice del malware diretto agli sviluppatori era contenuto nei moduli pyperclip e pyrebase del progetto, precisamente nei file _init_.py e rispettivi compilati, come stringa codificata in Base64 che nasconde il downloader. Il codice malevolo effettuava una richiesta HTTP al server controllato dagli attaccanti ed esegue i comandi Python che riceveva in risposta.

Le ultime attività identificate sfruttavano questo stesso meccanismo per distribuire malware, anche se in questo caso il payload iniziale veniva distribuito tramite un progetto Python camuffato da test da superare durante un colloquio di lavoro. I pacchetti malevoli venivano caricati su Github e condivisi con gli sviluppatori candidati da hacker di Lazarus Group che si fingevano recruiter.

Il malware diretto agli sviluppatori

Nelle attività analizzate dai ricercatori, il gruppo proponeva agli sviluppatori un archivio chiamato “Python_Skill_Test” in cui c’era un password manager da eseguire e analizzare (contenente il malware) e un README con le istruzioni da seguire per superare il test. Ai candidati veniva chiesto di individuare i bug presenti nel progetto e sistemarli in 15 minuti, per poi effettuare nuovamente la build del software e sottoporre la soluzione entro 10 minuti.

Gli attaccanti giocavano sul senso di urgenza per spingere gli sviluppatori a eseguire il malware contenuto nell’archivio senza lasciargli il tempo di insospettirsi.

Anche se questi attacchi risalgono a oltre sei mesi fa, la campagna è ancora attiva: lo scorso 31 luglio i ricercatori di ReversingLabs hanno individuato alcune attività su uno degli account GitHub usati per distribuire il pacchetto malevolo. Il repository creato a fine luglio è stato notificato come sospetto ed è stato rimosso da GitHub, ma il team di ReversingLabs sta tuttora osservando la nascita di nuovi progetti legati alla campagna.

Pixabay

La battaglia contro VMConnect non sarebbe ancora finita, quindi; per di più, si tratta di un trend che probabilmente continuerà a crescere. “Campagne come questa che sfruttano pacchetti e piattaforme open source per colpire gli sviluppatori, sono una tendenza in crescita tra i gruppi di criminali informatici e hacker supportati dai governi. Il Lazarus Group della Corea del Nord, che si ritiene sia dietro questa campagna, è un buon indicatore di come queste minacce si stiano sviluppando” hanno spiegato i ricercatori.

Per proteggersi da questi attacchi è essenziale ricordarsi di non scaricare file né eseguire codice proveniente da fonti non legittime e utilizzare soluzioni di sicurezza che aiutino a individuare i download sospetti.