นักวิจัยด้านความปลอดภัยทางไซเบอร์ของ Phylum ค้นพบมัลแวร์รูปแบบใหม่ในแพ็คเกจ PyPI ที่ใช้ Unicode เพื่อซ่อนตัว
Unicode เป็นมาตรฐานการเข้ารหัสทั่วโลกที่ใช้สำหรับภาษาและสคริปต์ต่างๆ ซึ่งครอบคลุมอักขระมากกว่า 100 ตัว โดยมีจุดประสงค์เพื่อลดความซับซ้อนและความคล่องตัวในการแสดงอักขระบนอุปกรณ์อิเล็กทรอนิกส์และดิจิทัล เมื่อใช้ Unicode ตัวอักษร ตัวเลข และสัญลักษณ์แต่ละตัวจะได้รับค่าตัวเลขที่ไม่ซ้ำกัน ซึ่งยังคงเหมือนเดิมไม่ว่าจะใช้โปรแกรมหรือแพลตฟอร์มใดก็ตาม
El malware se llama "onyxproxy", es un ladrón de información que busca credenciales de inicio de sesión de desarrollador y tokens de autenticación. Estuvo disponible en PyPI durante una semana, antes de que se cerrara, y durante ese tiempo logró obtener 183 descargas, lo que significa que hasta 183 desarrolladores diferentes están en riesgo de robo de credenciales e identidad.
ซ่อนอยู่ในสายตาธรรมดา
El malware contiene un paquete llamado "setup.py" que, según los investigadores, contiene "miles" de cadenas de código sospechosas que usan una combinación de caracteres Unicode.
เมื่อสังเกตจากพื้นผิว อักขระจะดูปกติและไม่เป็นพิษเป็นภัย อย่างไรก็ตาม สิ่งที่ตามนุษย์มองเห็นและสิ่งที่โปรแกรมมองเห็นนั้นเป็นสองสิ่งที่แตกต่างกันมาก
En onyxproxy, hay tres identificadores críticos: "__import__", "subprocesos" y "CryptoUnprotectData". Estos tienen una gran cantidad de variaciones, lo que los hace ideales para vencer las defensas basadas en la coincidencia de cadenas, explican los investigadores.
แม้ว่าเทคนิคนี้อาจดูซับซ้อน แต่นักวิจัยกล่าวว่ามันไม่ได้ซับซ้อนขนาดนั้น อย่างไรก็ตาม หากการใช้ Unicode ในทางที่ผิดเพื่อสร้างความสับสนให้กับโค้ด Python ที่เป็นอันตราย (เปิดในแท็บใหม่) กลายเป็นกระแส ก็อาจเป็นเรื่องที่น่ากังวลได้
"Pero quienquiera que este autor haya copiado este código ofuscado es lo suficientemente inteligente como para saber cómo usar las partes internas del intérprete de Python para generar un nuevo tipo de código ofuscado, un tipo que es algo legible sin revelar demasiado exactamente qué código está tratando robar”, concluye Phylum.
- นี่คือเครื่องมือกำจัดมัลแวร์ที่ดีที่สุดในตอนนี้
ผ่าน: BleepingComputer (เปิดในแท็บใหม่)