O le afifi Python filo fa'alelei, na maua i luga o le PyPI, ua fa'ailoa mai o leaga, o loʻo i ai se polokalame leaga masani o le gaoi faamatalaga. Peitaʻi, o lona uiga iloga o le faʻaaogaina lea o metotia faʻapitoa o le faʻamalamalamaina o tulafono e faʻalilolilo ai lona uta, ma faigata ai le suʻesuʻeina. O lenei polokalame leaga e faʻaaogaina vaega e tolu o le faʻalilolilo i taimi uma i lana filifili o osofaʻiga, ma mafua ai ni faʻalavelave tetele mo le faʻaleagaina e le lima.
Pepa Fa'a'ole'ole: Infostealer Malware ma le Fa'alilolilo o Tulafono Fa'alilolilo
O le ā le Infostealer Malware?
E pei o se gaoi faalilolilo le Infostealer malware i lau lalolagi numera. E pu'eina faalilolilo fa'amatalaga taua, e pei o au upu fa'alilolilo, numera o lau credit card, po'o fa'amatalaga patino, e aunoa ma lou matauina. O nei polokalama e fa'amaumauina mea e te lolomiina (keylogging), faoa lau browser, pe su'esu'eina faila i lau masini e aoina ai fa'amatalaga taua. O le vaega e sili ona mata'utia? E matua'i lelei lava i latou i le le iloa.
1. Fa'ailoga Fa'atolu
E amata le faagasologa o le fa'alilolilo i se uta ua matua fa'alilolilo ua fa'apipi'iina i totonu o le fluent.py faila. O le faagasologa muamua o le encoding ma le decrypt e mafai ona aoteleina faapenei:
encoded_data = base64_module.b64decode("... BASE-6 with encrypted payload, IV and RSA-encrypted keys…”); # … Sequential decryption: ChaCha20, Blowfish and AES … encrypted_payload = AES_Cipher.new(aes_key, AES_Cipher.MODE_CBC, iv=aes_iv).decrypt(encrypted_payload[16:]) final_payload = unpad_function(encrypted_payload, AES_Cipher.block_size) exec( zlib_module.decompress(bz2_module.decompress(final_payload)) ) O lenei faiga o le fa'alilolilo e aofia ai:
- TauvagaFa'aaogaina o le gzip ma le bzip.
- Faʻailoga faʻamaoniaFa'ailoga fa'amaufa'ailoga fa'atasi ma le ChaCha20, Blowfish, ma le AES.
- Fa'ailoga asymmetric: RSA e fa'aaoga e fa'ailoga ai ki tutusa.
O le iʻuga ua faʻailogaina i le Base64 ma faʻaofiina e pei o fa'amaumauga_fa'ailogaina. O fa'asologa ta'itasi e fa'avae i luga o le muamua, ma fausia ai se fausaga fa'alilolilo fa'aputu e faigata tele ai ona fa'aalia le uta moni e aunoa ma le fa'ainisinia fa'afeagai.
2. Fa'aitiitia o le Gzip
I le tele o laasaga ogatotonu, e faʻaaogaina e le malware se metotia faigofie ae aoga mo le faʻamalamalamaina: Gzip compression faʻatasi ai ma le Base64 encoding.
import base64, zlib; eval(zlib.decompress(base64.b64decode(<STR>).decode('utf-8')) O lenei metotia e faʻamautinoa ai o loʻo natia pea le uta faʻalilolilo i vaega uma.
3. Fa'apipi'iina o Tulafono ma le Fa'aputuga Fa'a-Dynamic
O le vaega mulimuli e aofia ai le vaevaeina o le uta ua fa'alilolilo i le tele o fesuia'iga, lea e fa'apipi'i fa'afuase'i ma fa'aliliuina i le taimi o le fa'atinoina:
import base64, zlib FEQXCBDOZKHVIhT = '...' # ....(111 other variables with base-64 encoded values) ... zZytWuvuEdBXSrO = eval(<FEQXCBDOZKHVIhT' encoded with '\x>) + eval(<next variable, encoded>) + eval( ' zlib.decompress(base64.b64decode(<VAR>)).decode('utf-8') ') + ... eval(compile(base64.b64decode(eval(zZytWuvuEdBXSrO)).decode('utf-8'), ‘<app>', 'exec')) O lenei la'asaga e matuā faigata lava ona toe faia i le lima le reverse engineering, aua e tatau ona fa'amatalaina ma toe tu'ufa'atasia fesuia'iga ta'itasi e fa'aalia ai le uta e sosoo ai.
I le tuufaatasia o nei metotia o le faanenefuina, o le infostealer malware in filo fa'alelei alo ese mai le iloa, ma faʻaalia ai le matafaioi taua o Fa'ailoga Fa'ailoga i osofaʻiga faʻainiteneti i aso nei.
O le Filifiliga o Osofa'iga e Tele-Vaega o le ThreadFluent
le filo fa'alelei infostealer malware e aofia ai vaega eseese e fa, e tofu ma le fa'alauiloaina o vaega fa'aopoopo o Fa'ailoga Fa'ailogaO nei la'asaga e lē gata ina fa'ao'o atu le uta ae puipuia fo'i mai le iloa ma le su'esu'eina.
Vaega 0: Fa'atinoina Muamua o le Tulafono
O le nofoaga e ulufale ai o le __init__.py faila, lea e amataina ai le faʻatinoina o le uta faʻalilolilo i totonu fluent.py. O lenei faila e faʻaaogaina le faʻalilolilo tele-vaega (e pei ona faʻamatalaina i laʻasaga 1–3) e gaosia ai le dropper Vaega 1:
import os,threading def main(): if os.name == 'nt': from . import fluent fluent.main() thread = threading.Thread(target=main , daemon=True) thread.start() Vaega 1: Fa'a'ū Muamua
O le dropper muamua, a uma ona aveese le fa'alilolilo, e sii mai ma fa'apipi'i ai nisi code leaga, puts.py, mai se fale teuoloa GitHub Lauulu-mumu-1337/repuests (lapataiga: atonu o loo iai se code leaga iinei).
O lo'o fa'apipi'i le dropper puts.py i totonu o le faʻapipiʻiina i le lotoifale o le lauiloa talosaga faletusi, suia lona __init__.py faila e fa'atino ai le deobfuscation ma fa'atino le isi la'asaga. O lenei deobfuscation e aofia ai le toe fa'afo'iina o le tele o fa'aoga o vaega o le obfuscation 1 … 3.
Vaega 2: Fa'a'ū lona lua
O le dropper lona lua, ina ua uma ona aveese le fa'alilolilo i le mae'a ai o le faiga lava lea e tasi, e toe sii mai ai se isi uta, ssl.py mai le teuina o le GitHub, toe faaigoa i ai o udp.py, ma faia se faila loka e faʻamautinoa ai e le toe faʻapipiʻi soo le malware. Ona faʻagaoioia lea e aveese ai le faʻalavelave, ma iu ai ina faʻatinoina le uta mulimuli o le infostealer.
Vaega 3: Fa'amatalaga Fa'ai'u
O le laasaga mulimuli o se gaoi faʻamatalaga e atoatoa lona aoga e faʻaaogaina ai metotia faʻapitoa e aloese ai:
- Vaega e tete'e ai i su'esu'ega:
- Iloa meafaigaluega e tete'e i polokalame leaga ma fa'amutaina pe a iloa so'o se faiga ua fa'ailogaina i le lisi uliuli, IP, igoa o le 'au talimalo, po'o ni siosiomaga fa'apitoa.
- Aveese fa'amatalaga:
- Pu'eina fa'amatalaga atoatoa. E amata mai i le IP, tuatusi Mac, fa'amatalaga VPN, kuki/talafa'asolopito o le browser, fa'amatalaga o credit card ma fa'amaoniga o le atotupe crypto fa'atasi ai ma isi mea, e aofia ai se ata o le lau.
- Auina atu faʻamatalaga gaoia (faʻailogaina) e ala i se auala Telegram, e faʻaaoga ai le template o loʻo faʻaalia iinei:
Fuafuaga e Fa'aitiitia ai le Fa'alavelave
Mo le iloiloina o afifi talitutusa, e tatau i tagata suʻesuʻe ona toe faʻafoʻisia ma le faʻaeteete ona vaega o le faʻalavelaveina:
- Fa'ata'ita'i Laasaga o le Fa'alavelaveina: Tusi ni tusitusiga e faʻataʻitaʻi ai suiga (e pei o le decryption, decompression) e aunoa ma le faʻatinoina o le payload.
- Vaega Fa'ailoga Fa'afeagai: Aveese ma tatala le uta e faʻaaoga ai ki ma algorithm ua faʻapipiʻiina.
- Su'esu'ega Fa'asolosolo: Fa'agasolo la'asaga ogatotonu ta'itasi i lea taimi ma lea taimi e toe fausia ai le uta mulimuli.
E taua tele meafaigaluega otometi ma siosiomaga e fa'aogaina ai le sandbox mo le fa'afaigofieina o lenei au'ili'iliga.
E te fia iloa atili e uiga i le puipuia o taufaamata'u i le taimi moni?
La'u mai la matou pepa pa'epa'e, 'Lapata'iga Vave: Iloa ma Fa'amuamua o Lamatiaga i le Taimi Moni,' ma iloa pe fa'apefea ona puipuia lau sapalai o polokalama faakomepiuta.
O Le Tagata Fa'amata'u
E foliga mai na lolomiina le afifi mai tala PyPI e lua, ABIRHOSSAIN10 ma anomilano785, ua aveeseina nei.
O loʻo iai se teugatupe GitHub (o loʻo galue nei) e igoa ia ABIRHOSSAIN10, lea e ono fesoʻotaʻi ma le tauvaga. O le O vae-ulu-mumu-1337 O le tagata faʻaoga GitHub e ana le nofoaga e teu ai faʻamaumauga na faʻaaogaina mo le laʻuina mai o uta o le vaega 2 ma le 3 o loʻo suʻesuʻeina foʻi.
E ui e faigata i taimi uma ona faʻailoa le mafuaʻaga ma o se avanoa e mafai ai ona avea ma sui o se 'au mumu, o le ituaiga ma le tele o faʻamatalaga ua faʻasalalauina atu e faʻailoa mai ai se tagata leaga.
Faaiuga: O le Matafaioi a le Fa'alilolilo o Tulafono i le Fa'agasologa o Malware
le filo fa'alelei O le afifi o loʻo faʻataʻitaʻiina ai le faʻalavelaveina o polokalame leaga faʻaonaponei i lona tuʻuina atu i le tele o vaega. Faʻatasi ai ma metotia faʻaʻalo ese o loʻo faʻaaogaina, o lenei afifi o loʻo faʻaalia ai se taumafaiga manino e ʻalo ese ai mai le iloa ma teteʻe atu i le suʻesuʻega.
O lenei suʻesuʻega e faʻamamafaina ai le taua o taumafaiga faʻatasi ma meafaigaluega faʻaautomatika i le tau faasaga i ia ituaiga taufaʻamataʻu. O le suʻesuʻeina ma le malamalama i nei metotia, e mafai ai e le au faʻapolofesa o le saogalemu ona atiaʻe ni puipuiga sili atu e faasaga i polokalame leaga faapena i le lumanaʻi.
Na faapefea ona taofia e le polokalama MEW a Xygeni le Malicious threadfluent Package mai le oo atu i le gaosiga
Xygeni's Lapata'iga Vave o Polokalama Fa'aleagaina (MEW) sa fesoasoani tele le faiga i le taofia o le filo fa'alelei Afifi Python, o se fa'alagolago leaga o lo'o i ai ni fa'atulagaga fa'apitoa fa'ailoga fa'ailoga ma se vaega e tele infostealer malware, a'o le'i ono lamatia ai siosiomaga gaosiga. O le auala lenei:
- Iloa e ala i le Su'esu'ega Tumau
MEW vaaia filo fa'alelei's code natia, maua ai fa'ailoga masalomia e pei o le fa'ailoga fa'alava ma gaoioiga fa'alagolago e le masani ai. - Iloiloga o le Aapa Atu i le Taimi Fa'atino
Na maua e le polokalama e mafai e le code o le afifi ona tamoe i le taimi e faʻaaogaina ai, ma faʻailogaina ai o se taufaʻamataʻu matuia e aunoa ma le faʻaaogaina moni. - CI/CD Pipeline puipuiga
Ua poloka le MEW filo fa'alelei i le taimi moni, taofia ai mai le aofia ai i totonu o fausiaina, ma taofia ai mai le oo atu i le gaosiga. Na auina atu ai i le au atiaʻe ni lapataiga e mafai ona faatino, ma sefe ai taimi taua. - Fetufa'aiga Fa'amata'u
Sa vave ona lipotia e Xygeni le afifi i le PyPI ma faʻasoa atu ana sailiiliga i lana fesoʻotaʻiga saogalemu i le lalolagi atoa, ma taofia ai lona salalau atili.
Puipui lau CI/CD Pipelines mo Saoloto
Puipuia fa'amata'u e pei o filo fa'alelei fa'atasi ai ma le Xygeni's Malware Early Warning system. Amata lau free trial i le asō ma fa'amautu lau sapalai o polokalama faakomepiuta.
Lui Rodriguez
O Luis Rodriguez o se foma'i fa'aletinocist + tagata fai matematika ma CISSP. O loʻo avea nei ma faʻavae ma CTO i le Xygeni Security. E silia ma le 20 tausaga o lona poto masani i le puipuiga o polokalama faakomepiuta ma sa auai i galuega faatino e pei o SAST ma SCA. O loʻo taulaʻi atu nei o ia i software supply chain security.
Daniel Martin
O Daniel Martín o se tagata tomai faapitoa i le saogalemu i luga o le initaneti ma o se sui auai o le 'au suʻesuʻe saogalemu a Xygeni, e faʻapitoa i SDLC puipuiga ma le fa'aitiitia o vaivaiga o talosaga.
