Redazione RHC : 5 Gennaio 2024 13:38
Tre pacchetti dannosi in grado di distribuire un miner di criptovaluta su dispositivi Linux infetti sono stati recentemente scoperti nell’archivio pubblico degli sviluppatori PyPI. I pacchetti denominati “modularseven“, “driftme” e “catme” hanno attirato l’attenzione degli esperti di sicurezza. Sono stiati scaricati 431 volte nell’ultimo mese prima di essere rimossi dal sito.
Gabby Xiong, ricercatrice di Fortinet, ha affermato che questi pacchetti distribuiscono l’eseguibile CoinMiner sui dispositivi Linux la prima volta che vengono utilizzati.
Il codice dannoso si trova nel file “__init__.py”, che decodifica ed estrae la prima fase dal server remoto. Si tratta di uno script di shell (“unmi.sh”) che carica il file di configurazione per il mining, nonché il File CoinMiner ospitato su GitLab.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Il binario ELF viene quindi eseguito in background utilizzando il comando “nohup“, assicurando che il processo continui a essere eseguito dopo la disconnessione della sessione.
Xiong, nota che questi pacchetti, come il “culturestreak” di una precedente campagna simile. Nascondono il payload, riducendo così la possibilità di rilevare codice dannoso posizionandolo su un URL remoto. Successivamente, il payload viene scaricato gradualmente sul computer della vittima per eseguire attività dannose.
La connessione con il precedente pacchetto “culturestreak” è visibile anche nel fatto che il file di configurazione è ospitato sul dominio “papiculo[.]net”. Gli eseguibili di mining sono ospitati nel repository pubblico GitLab.
Una delle innovazioni degne di nota nei tre pacchetti rilevati è l’aggiunta di un passaggio aggiuntivo che nasconde intenti dannosi nello script della shell, aiutando a eludere il rilevamento da parte del software antivirus.
Inoltre, Xiong sottolinea che questo malware inserisce comandi dannosi nel file “~/.bashrc”, che garantisce la persistenza e la riattivazione del malware sul dispositivo dell’utente. Questa strategia promuove l’uso più prolungato e nascosto di un dispositivo compromesso a vantaggio degli aggressori.
RedazioneNel corso di un’operazione internazionale coordinata, denominata “Operation Checkmate”, le forze dell’ordine hanno sferrato un duro colpo al gruppo ransomware BlackSuit (qu...
Il Dipartimento di Giustizia degli Stati Uniti ha segnalato lo smantellamento di quattro piattaforme darknet utilizzate per la distribuzione di materiale pedopornografico. Contemporaneamente, un dicio...
“Combattere il cybercrime è come estirpare le erbacce: se non elimini le radici a fondo, queste ricresceranno” e oggi, più che mai, questa verità si conferma ess...
Immagina di aprire, come ogni sera, il bookmark del tuo forum preferito per scovare nuove varianti di stealer o l’ennesimo pacchetto di credenziali fresche di breach. Invece della solita bachec...
Il 22 luglio 2025, Mozilla ha rilasciato Firefox 141, un aggiornamento volto a migliorare la sicurezza del browser. Nell’ambito del Bollettino MFSA 2025-56, sono state risolte 18 vulnerabilit&#...
Iscriviti alla newsletter settimanale di Red Hot Cyber per restare sempre aggiornato sulle ultime novità in cybersecurity e tecnologia digitale.
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
