PyPI に 悪意の Python パッケージ：すでに 450回もダウンロードされている

Researchers Uncover Obfuscated Malicious Code in PyPI Python Packages

2023/02/10 TheHackerNews — Python Package Index (PyPI) に侵入した４種類の悪意のパッケージが、マルウェア投下／netstat ユーティリティ削除／SSH authorized_keys ファイルの操作などの、数々の悪質なアクションを実行することが確認されている。問題のパッケージの名称は、aptx／bingchilling2／httops／tkint3rs であり、いずれも削除までの間に、450回ほどダウンロードされている。なお、aptx は Qualcomm の同名オーディオ・コーデックを模倣したものであり、httops と tkint3rs は、それぞれ https と tkinter のタイポスクワッティングである。

Sonatype の セキュリティ研究者兼ジャーナリストの Ax Sharma は、「これらの悪意のパッケージは、意図的に人々を混乱させるために、よく考えられた名前を持つ」と述べている。

セットアップ・スクリプトに注入された悪意のコードを分析したところ、難読化された Meterpreter ペイロードの存在が明らかになった。このペイロードは、Python 用の正規パッケージ・インストーラである “pip” に偽装されており、感染ホストへのシェルアクセスを取得するために利用されるものだ。

また、ネットワーク設定とアクティビティ監視に使用される、netstat コマンド・ライン・ユーティリティの削除や、リモートアクセス用の SSH バックドアを設定するための .ssh/authorized_keys ファイル改ざんも実行される。

Sharma は、「オープンソースのエコシステムにうまく入り込んだ、有害なマルウェアの巧妙かつ現実的な例である」と指摘している。

その一方で Fortinet FortiGuard Labs は、ソフトウェア・リポジトリに忍び込み、機密情報を採取して流出させるよう設計された５種類のパッケージ (web3-essential／3m-promo-gen-api／ai-solver-gen／hypixel-coins／httpxrequesterv2／httpxrequester）を摘発している。

今回の公開は、ReversingLabs が aabquerys という悪意のある npm モジュールについて明らかにしたものである。このモジュールは、開発者を騙してダウンロードさせるために、正規の abquery パッケージを装うように設計されている。

そこで用いられる難読化された JavaScript コードは、リモートサーバから第２段階の実行ファイルを取得する機能を備えており、この実行ファイルには、DLL サイドローディング攻撃に対して脆弱だとされる Avast Proxy バイナリ (wsc_proxy.exe) が含まれている。

それにより脅威者は、Commaand and Control (C2) サーバから、第３段階のコンポーネントである Demon.bin を取得するように設計された、悪意のライブラリを呼び出すことが可能になる。

ReversingLabs の研究者である Lucija Valentić は、「Demon.bin は、典型的な RAT (remote access trojan) 機能を持つ悪意のあるエージェントであり、Havoc というオープンソースのポストエクスプロイト Commaand and Control のフレームワークを用いて生成されている」と、述べている。

さらに、aabquerys を作成した脅威アクターは、aabqueryとnvm_jquery という名前を持つ、aabquerys の初期版と疑われる２つのパッケージの、複数のバージョンを公開していると言われている。

C2 悪用フレームワークとして挙げられるのは Havoc だけでなく、Manjusaka／Covenant／Merlin／Empire などのカスタム・スイートを、マルウェア・キャンペーンに利用している犯罪者もいるようだ。

また、今回の調査結果は、npm や PyPi といった、オープンソース・リポジトリに潜む悪意のパッケージによるリスクの高まりと、ソフトウェアのサプライチェーンに深刻な影響を与える可能性の高まりを、強調するおのとなっている。

Sonatype (PyPI) と ReversingLabs (npm) のレポートをベースにした記事です。npm に関しては、2023/02/10 の「NPM に悪意のパッケージ aabquerys：タイポスクワッティングでマルウェアをダウンロード」をご参照ください。そちらのほうが、詳しく解説されています。それにしても、OSSリポジトリ を狙うマルウェアが多いですね。

2023/02/01：PyPI：Python-drgn と bloxflip に要注意
2023/01/16：悪意のパッケージ：数日で 500件以上の DL
2023/01/07：PyPI：CloudFlare Tunnel を悪用するトロイの木馬
2022/12/20：PyPI に W4SP Stealer 亜種が出回る