Meşru kod gizleme araçları gibi görünen kötü amaçlı Python paketleri, PyPI kod deposu aracılığıyla geliştiricileri hedef alıyor.
Kötü amaçlı yazılımı “BlazeStealer” olarak adlandıran Checkmarx’taki araştırmacılara göre, kod gizlemeyle ilgilenenlere odaklanmak, organizasyonel taç mücevherleri sunabilecek bilinçli bir seçimdir.
8 Kasım’da BlazeStealer’ın özellikle endişe verici olduğu, çünkü ana bilgisayar verilerini sızdırabileceği, şifreleri çalabileceği, keylogger’ları başlatabileceği, dosyaları şifreleyebileceği ve ana bilgisayar komutlarını çalıştırabileceği konusunda uyardılar. Checkmarx tehdit araştırmacısı Yehuda Gelb’e göre hedeflerin akıllıca seçilmesi sayesinde durum daha da tehlikeli hale geliyor.
Gelb, “Kod gizleme işlemine katılan geliştiriciler büyük olasılıkla değerli ve hassas bilgilerle çalışıyorlar. Sonuç olarak, bilgisayar korsanları onları takip edilmesi gereken değerli hedefler olarak görüyor ve dolayısıyla bu saldırıda hedeflenen kurbanlar olmaları muhtemeldir” diye açıklıyor.
BlazeStealer, saldırganların 2023’te piyasaya sürdüğü, güvenliği ihlal edilmiş Python paketleri dalgasının en sonuncusu. Temmuz ayında Wiz araştırmacıları, memfd Linux dosyasız işlemini kullanarak bir XMRig madencisini bilgisayarın belleğine yükleyen Python kodundan oluşan kötü amaçlı yazılım PyLoose hakkında uyardı. O dönemde Wiz, saldırganların bunu kripto madenciliği için kullandığı yaklaşık 200 örneği gözlemledi.
Checkmark, kendi adına, yetkisiz Dero kripto para birimi madenciliği için sistem kaynaklarını bağlamak üzere eş zamanlı bir döngü çalıştıran Culturestreak’in Eylül 2023’te keşfedilmesi de dahil olmak üzere çeşitli kötü amaçlı Python tabanlı paketleri takip etti.
BlazeStealer Kötü Amaçlı Yazılımını Çalıştırma
BlazeStealer yükü, harici bir kaynaktan kötü amaçlı bir komut dosyası çıkararak saldırganlara kurbanın bilgisayarı üzerinde tam kontrol sağlayabilir. Gelb’e göre kötü niyetli BlazeStealer yükü, ele geçirilen sisteme yüklendikten sonra etkinleşiyor.
Komuta ve kontrol için BlazeStealer, benzersiz bir tanımlayıcı kullanarak Discord mesajlaşma hizmeti aracılığıyla taşınan bir botu çalıştırıyor.
Gelb, “Bu bot bir kez etkinleştirildiğinde saldırganın hedefin sistemi üzerinde tam kontrol sahibi olmasını sağlayarak kurbanın makinesinde sayısız zararlı eylem gerçekleştirmesine olanak tanır” diye uyarıyor Gelb. Ayrıntılı ana bilgisayar verileri toplamanın yanı sıra BlazeStealer, dosyaları indirebilir, Windows Defender’ı ve Görev Yöneticisini devre dışı bırakabilir ve CPU’yu aşırı yükleyerek bilgisayarı kilitleyebilir. İkincisini, bilgisayarı kapatmak için başlangıç dizininde bir toplu komut dosyası çalıştırarak veya bir Python komut dosyasıyla BSO hatasını zorlayarak yapar.
BlazeStealer ayrıca uzak bir sunucudan gizlice bir .ZIP dosyası indiren ve ücretsiz WebCamImageSave.exe uygulamasını yükleyen bir bot kullanarak bir bilgisayarın web kamerasının kontrolünü ele geçirebilir.
Gelb, “Bu, botun web kamerasını kullanarak gizlice fotoğraf çekmesine olanak tanıyor. Ortaya çıkan görüntü, indirilen dosyaları sildikten sonra varlığına dair hiçbir kanıt bırakmadan Discord kanalına geri gönderiliyor” diye belirtiyor.