Вредоносный пакет aurum-pay исполняет ответ сервера как команду

В PyPI обнаружен вредоносный пакет aurum-pay версии 1.2.0, который маскируется под SDK для платежей. Импорт пакета и создание клиента не запускают вредоносный код: он срабатывает при первом запросе к API, обращается к aurum-casino.com/sdk/ping и выполняет полученный ответ как команду операционной системы перед продолжением платежной операции.

В Windows команда запускается через скрытый процесс PowerShell, в Linux и macOS через Bash. Загрузчик выполняется один раз за процесс Python и подавляет ошибки сети и выполнения. Восстановленная команда для Linux загружает ELF-имплант из Dropbox.

Имплант, который представляется как «RCMD Remote Agent», представляет собой статически скомпонованный RAT. Он подключается по TLS к 209.99.184.80:443 и аутентифицируется с помощью встроенных токена и сертификата. RAT умеет выполнять команды оболочки, собирать сведения о системе, перечислять и передавать файлы, а также делать снимки экрана с помощью scrot, X11 или резервного варианта на основе Python и Pillow. Среди собираемых данных сведения об ОС, ЦП, памяти, рабочем каталоге, платформе и графической сессии.

Оператор может доставлять дополнительные полезные нагрузки командами оболочки или инструкциями на загрузку. Последующие действия не удалось установить при статическом анализе. Для закрепления при запуске RAT копирует себя из /proc/self/exe в $HOME/.local/bin/chromium и создаёт поддельный юнит systemd chromium.service.

К индикаторам компрометации относятся:

• запросы к aurum-casino.com/sdk/ping;
• TLS-соединения с 209.99.184.80:443;
• полезная нагрузка, загруженная из Dropbox;
• артефакты в Linux, включая /tmp/.c, /tmp/.rcmd-ss.jpg и chromium.service.

Авторы отчёта рекомендуют считать системы, на которых использовалась эта программа, потенциально скомпрометированными, изолировать их, сохранить доказательства, отозвать учётные данные, доступные процессу Python, и пересоздать системы из доверенных образов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.