Вредоносный пакет «automslc»: угроза авторским правам на Deezer

Недавний анализ, проведенный исследователями Socket, выявил вредоносный пакет automslc в индексе пакетов Python (PyPI). Этот пакет, который был загружен более 100 000 раз, на деле не автоматизирует задачи, связанные с музыкой, а облегчает несанкционированную загрузку музыки с популярного потокового сервиса Deezer.

Как работает automslc

Пакет automslc использует жестко запрограммированные учетные данные для доступа к API Deezer, что позволяет ему запрашивать и загружать полноценные аудиотреки. Это нарушает условия предоставления услуг, которые разрешают только 30-секундные предварительные просмотры. Основные функции пакета включают:

• Получение конфиденциальных идентификаторов, таких как идентификаторы Deezer и международные стандартные коды записи (ISRC)
• Запрос URL-адресов потоковой передачи с использованием полученных токенов
• Сохранение загруженных треков локально на пользовательских устройствах

Риски для пользователей

Использование automslc подрывает правовую защиту, связанную с лицензированием музыки, и ставит пользователей под угрозу разбирательств за нарушение авторских прав. Пакет также взаимодействует с сервером управления по IP-адресу 54.39.49.17, что позволяет следить за взаимодействиями пользователей и контролировать работоспособность вредоносного ПО.

Разработка и распространение

Несмотря на то, что automslc был опубликован в 2019 году, он продолжает набирать популярность среди пользователей. Использование встроенных учетных данных для доступа к API Deezer вызывает серьезные опасения по поводу несанкционированного доступа и возможности распространения дополнительных вредоносных программ. Предполагается, что разработчик пакета известен под псевдонимами hoabt2 и Thanh Hoa, а также связан с зарегистрированным адресом Gmail.

Вредоносные операции и тактики

Паспортные данные DNS связывают домен automusic.win с IP-адресом C2, подчеркивая его роль в сборе пользовательских данных и подрыве целостности сервиса Deezer. Атака основана на различных тактиках, включая:

• Компрометация цепочки поставок (T1195.002)
• Запуск пользователем вредоносных файлов (T1204.002)
• Автоматизированный сбор конфиденциальных данных (T1119)

Эти методы демонстрируют сложный подход к использованию цепочки поставок программного обеспечения и протоколов прикладного уровня для достижения своих целей.

Следует отметить, что данный пакет иллюстрирует серьезное нарушение не только условий использования API, но и законодательства об авторском праве, превращая компьютеры пользователей в узлы для распределенной пиратской операции.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.