Japón culpa a Corea del Norte por el ciberataque a la cadena de suministro de PyPI

Los funcionarios de ciberseguridad japoneses advirtieron que el notorio equipo de piratería del Grupo Lazarus de Corea del Norte llevó a cabo recientemente un ataque a la cadena de suministro dirigido al repositorio de software PyPI para aplicaciones Python.

Los actores de amenazas han subido paquetes con formato incorrecto con nombres como “pycryptoenv” y “pycryptoconf”; el nombre es similar al kit de herramientas de cifrado legítimo “pycrypto” para Python. Los desarrolladores que son engañados para que descarguen los nefastos paquetes en sus máquinas con Windows quedan infectados con un peligroso troyano llamado Comebacker.

«Los paquetes maliciosos de Python confirmados esta vez se descargaron aproximadamente entre 300 y 1200 veces». El CERT de Japón dijo esto en una advertencia emitida a finales del mes pasado. «Los atacantes podrían aprovechar los errores tipográficos de los usuarios para descargar el malware».

Dale Gardner, director senior y analista de Gartner, describe Comebacker como un troyano de propósito general diseñado para eliminar ransomware, robar credenciales e infiltrarse en el proceso de desarrollo.

Comebacker se ha utilizado en otros ciberataques relacionados con Corea del Norte, incluido uno Ataque a un repositorio de desarrollo de software NPM.

“El ataque es una forma de typosquatting, en este caso un ataque de confusión de dependencia. «Se engaña a los desarrolladores para que descarguen paquetes que contienen código malicioso», dice Gardner.

El último ataque a repositorios de software Es un tipo que ha ganado mucho peso en el último año.

«Este tipo de ataques están aumentando rápidamente: el informe de código abierto de Sonatype 2023 encontró que se descubrieron 245.000 paquetes de este tipo en 2023, lo que representa el doble de los paquetes descubiertos desde 2019 combinados», dice Gardner.

Los desarrolladores asiáticos se ven afectados “desproporcionadamente”

PyPI es un servicio centralizado con alcance global, por lo que los desarrolladores de todo el mundo deben tener cuidado con esta última campaña de Lazarus Group.

«Este ataque no sólo afecta a los desarrolladores de Japón y las regiones circundantes», subraya Gardner. «Los desarrolladores de todo el mundo deben tener cuidado».

Otros expertos dicen que los hablantes no nativos de inglés pueden correr un mayor riesgo por este último ataque del Grupo Lazarus.

El ataque «podría afectar desproporcionadamente a los desarrolladores en Asia» debido a las barreras del idioma y al menor acceso a la información de seguridad, dijo Taimur Ijlal, experto en tecnología y jefe de seguridad de la información en Netify.

“Es comprensible que los equipos de desarrollo con recursos limitados tengan menos ancho de banda para revisiones y auditorías de código rigurosas”, dice Ijlal.

Jed Macosko, director de investigación de Academic Influence, dice que las comunidades de desarrollo de aplicaciones en el este de Asia «tienden a estar más estrechamente integradas que en otras partes del mundo debido a las tecnologías, plataformas y similitudes lingüísticas compartidas».

Dice que los atacantes podrían intentar explotar estas conexiones regionales y «relaciones de confianza».

Las empresas de software pequeñas y emergentes en Asia tienden a tener presupuestos de seguridad más limitados que sus contrapartes occidentales, señala Macosko. «Esto significa procesos, herramientas y capacidades de respuesta a incidentes más débiles, lo que hace que la infiltración y la persistencia sean objetivos más alcanzables para los actores de amenazas sofisticados».

ciberdefensa

Proteger a los desarrolladores de aplicaciones de estos ataques a la cadena de suministro de software es «difícil y generalmente requiere una variedad de estrategias y tácticas», dice Gartner de Gartner.

Los desarrolladores deben tener mayor precaución y cuidado al descargar dependencias de código abierto. “Dada la cantidad de código abierto que se utiliza hoy en día y las presiones de los entornos de desarrollo acelerados, es fácil que incluso un desarrollador bien capacitado y atento cometa un error”, advierte Gardner.

Esto hace que los enfoques automatizados para “administrar y revisar el código abierto” sean una salvaguardia esencial, añade.

«Las herramientas de análisis de composición de software (SCA) se pueden utilizar para evaluar dependencias y ayudar a detectar paquetes falsos o legítimos que han sido comprometidos», aconseja Gardner, añadiendo que «los paquetes se prueban proactivamente para detectar la presencia de código malicioso» y los paquetes se validan utilizando Los administradores de paquetes también pueden mitigar los riesgos.

«Estamos viendo que algunas organizaciones están estableciendo registros privados», afirma. «Estos sistemas están respaldados por procesos y herramientas que ayudan a examinar el código abierto para garantizar que sea legítimo» y que no contenga vulnerabilidades u otros riesgos, añade.

PiPI no es ajena al peligro

Si bien los desarrolladores pueden tomar medidas para reducir la exposición, la responsabilidad de evitar el abuso recae en los proveedores de plataformas como PyPI, dijo Kelly Indah, experta en tecnología y analista de seguridad de Increditools. esta no es la primera vez paquetes maliciosos fueron empujados hacia el plataforma.

«Los equipos de desarrollo de todas las regiones dependen de la confianza y la seguridad de los repositorios clave», afirma Indah.
“Este incidente de Lázaro socava esa confianza. Pero a través de una mayor vigilancia y una respuesta coordinada de los desarrolladores, gerentes de proyectos y proveedores de plataformas, podemos trabajar juntos para restaurar la integridad y la confianza”.