Un grupo de ciberdelincuentes lanzó una campaña maliciosa basada en la distribución de paquetes fraudulentos de Python. La campaña comenzó en noviembre de 2022 con la publicación de paquetes falsificados en el repositorio PyPI.
Técnicas empleadas por los atacantes
Los atacantes emplearon técnicas de typo squatting para robar información confidencial de desarrolladores y usuarios de Top.gg de Discord. Los paquetes falsificados incluyeron malware camuflado presentado como la herramienta Colorama.
Acceso a repositorios GitHub
La cuenta de GitHub «editor-syntax» asociada a Top.gg fue comprometida, permitiendo cambios maliciosos en los repositorios. Los paquetes fraudulentos se propagaron mediante repositorios como github[.]com/maleduque/Valorant-Checker y github[.]com/Fronse/League-of-Legends-Checker.
Acceso a dominio falsificado
El repositorio «github[.]com/whiteblackgang12/Discord-Token-Generator» ya no está disponible en GitHub. Los atacantes registraron el dominio «files.pypihosted.org», un intento de servidor espejo o copia falsa donde se alojan los archivos oficiales de PyPI.
Resolución del incidente
El archivo python-sdk de Top.gg fue resuelto el 20 de febrero de 2024.
Riesgos identificados
- Robo de información confidencial de desarrolladores y usuarios.
- Compromiso de la seguridad de los usuarios mediante malware camuflado.
- Propagación de paquetes fraudulentos a través de repositorios GitHub.
Mitigaciones recomendadas
Mantener buenas prácticas de seguridad al instalar paquetes y repositorios. Estar alerta al instalar paquetes incluso desde fuentes confiables como PyPI o GitHub.