サイバーセキュリティ研究者は、Python Package Index (PyPI) リポジトリにアップロードされた悪意のあるパッケージを発見しました。これらのパッケージは、盗まれたメールアドレスをTikTokとInstagramのAPIに対して検証するチェッカーツールとして機能します。
これら3つのパッケージはすでにPyPIから削除されています。Pythonパッケージの名前は以下の通りです –
- checker-SaGaF (2,605ダウンロード)
- steinlurks (1,049ダウンロード)
- sinnercore (3,300ダウンロード)
“その名の通り、checker-SaGaFはメールがTikTokアカウントとInstagramアカウントに関連付けられているかどうかを確認します” と、Socketの研究者Olivia Brownは先週発表された分析で述べました。
具体的には、このパッケージはTikTokのパスワードリカバリーAPIとInstagramのアカウントログインエンドポイントにHTTP POSTリクエストを送信し、入力として渡されたメールアドレスが有効かどうかを判断します。つまり、そのメールアドレスに対応するアカウントホルダーが存在することを確認します。
“脅威アクターがこの情報を得ると、メールアドレスだけで、ドキシングやスパムを行ったり、偽の報告攻撃を行ってアカウントを停止させたり、クレデンシャルスタッフィングやパスワードスプレー攻撃を開始する前にターゲットアカウントを確認することができます” とBrownは述べました。
“検証済みのユーザーリストはダークウェブで利益のために販売されます。アクティブなメールの辞書を作成することは無害に見えるかもしれませんが、この情報は攻撃チェーン全体を可能にし加速させ、既知の有効なアカウントのみをターゲットにすることで検出を最小限に抑えます。”
2番目のパッケージ「steinlurks」は、同様にInstagramアカウントをターゲットにして、InstagramのAndroidアプリを模倣した偽のHTTP POSTリクエストを送信し、検出を回避します。これは異なるAPIエンドポイントをターゲットにすることで達成されます –
- i.instagram[.]com/api/v1/users/lookup/
- i.instagram[.]com/api/v1/bloks/apps/com.bloks.www.caa.ar.search.async/
- i.instagram[.]com/api/v1/accounts/send_recovery_flow_email/
- www.instagram[.]com/api/v1/web/accounts/check_email/
一方、「sinnercore」は、指定されたユーザー名のパスワード忘れフローをトリガーすることを目的としており、ターゲットのユーザー名を含む偽のHTTPリクエストを使用してAPIエンドポイント「b.i.instagram[.]com/api/v1/accounts/send_password_reset/」をターゲットにしています。
“Telegramをターゲットにした機能もあり、名前、ユーザーID、バイオ、プレミアムステータス、その他の属性を抽出します” とBrownは説明しました。
“sinnercoreの一部は、リアルタイムのBinance価格や通貨換算を取得するなどの暗号ユーティリティに焦点を当てています。また、PyPIプログラマーをターゲットにして、偽の開発者プロファイルや開発者を装うために任意のPyPIパッケージの詳細情報を取得することもあります。”
この公開は、デバッグユーティリティを装って開発者のシステムにバックドアを埋め込み、コード実行とデータ流出を容易にする「dbgpkg」という別の悪意のあるパッケージをReversingLabsが詳細に報告した際に行われました。このパッケージはもうアクセスできませんが、約350回ダウンロードされたと推定されています。
興味深いことに、問題のパッケージには、「discordpydebug」に埋め込まれたものと同じペイロードが含まれていることが判明しました。これは今月初めにSocketによってフラグ付けされました。ReversingLabsは、同じキャンペーンの一部と考えられる「requestsdev」という3番目のパッケージも特定したと述べました。これは削除される前に76回ダウンロードされました。
さらなる分析により、GSocketを使用したパッケージのバックドア技術が、2022年初頭のロシア・ウクライナ戦争の後にDoctor Webを含むロシアの団体をターゲットにしたことで知られるハクティビストグループPhoenix Hyena（別名DumpForumsまたはSilent Crow）のものに似ていることが判明しました。
帰属はせいぜい暫定的ですが、ReversingLabsは、この活動は模倣犯の脅威アクターの仕業である可能性もあると指摘しました。しかし、同一のペイロードの使用と「discordpydebug」が最初にアップロードされたのが2022年3月であるという事実は、Phoenix Hyenaとの可能性のある関連性を強化します。
“このキャンペーンで使用されている悪意のある技術、特に特定のタイプのバックドアインプラントやPython関数ラッピングの使用は、それを背後で操る脅威アクターが高度であり、検出を避けるために非常に慎重であることを示しています” とセキュリティ研究者のKarlo Zankiは述べました。
“関数ラッピングやGlobal Socket Toolkitのようなツールの使用は、脅威アクターが検出されずに侵害されたシステム上で長期的な存在を確立しようとしていたことも示しています。”
この発見は、Koishiフレームワークを使用したチャットボットにデータ流出用のバックドアをインストールする悪意のあるnpmパッケージ「koishi‑plugin‑pinhaofa」の発見とも一致します。このパッケージはnpmからのダウンロードができなくなっています。
“スペル自動修正ヘルパーとして販売されているこのプラグインは、8文字の16進数文字列をすべてのメッセージでスキャンします” とセキュリティ研究者のKirill Boychenkoは述べました。”それを見つけると、埋め込まれた秘密やクレデンシャルを含む可能性のある完全なメッセージを、ハードコードされたQQアカウントに転送します。”
“8文字の16進数はしばしば短いGitコミットハッシュ、切り詰められたJWTやAPIトークン、CRC‑32チェックサム、GUIDの先頭セグメント、またはデバイスシリアル番号を表し、これらのいずれもがより広範なシステムを解放したり、内部資産をマッピングしたりすることができます。脅威アクターはメッセージ全体を収集することで、周囲の秘密、パスワード、URL、クレデンシャル、トークン、IDもすくい上げます。”
翻訳元: https://thehackernews.com/2025/05/malicious-pypi-packages-exploit.html