2025年4月5日Ravie Lakshmananmalware /サプライチェーン攻撃
サイバーセキュリティの研究者は、機密情報を盗み、盗まれたクレジットカードデータをテストするように設計されたPythonパッケージインデックス（PYPI）リポジトリの悪意のあるライブラリを発見しました。
2つのパッケージ、Bitcoinlibdbfixとbitcoinlib-devは、 最近の問題 Bitcoinlibと呼ばれる正当なPythonモジュールで検出された ReversingLabs。 3番目のパッケージ 発見した Socket、Disgrasyaには、WooCommerceストアをターゲットにした完全に自動化されたカードスクリプトが含まれていました。
Pepy.techの統計によると、パッケージは数百のダウンロードを引き付けた前に惹きつけました。
「悪意のあるライブラリはどちらも同様の攻撃を試み、敏感なデータベースファイルを除外しようとする悪意のあるコードで合法的な「CLW CLI」コマンドを上書きします」とReverSingLabs氏は述べています。
興味深いひねりを加えて、偽造図書館の著者はGitHubの問題の議論に参加したと言われており、疑いを持たないユーザーをだまして、条件付けされた修正をダウンロードしてライブラリを実行しようとしました。
一方、Disgrasyaは公然と悪意があることが判明しており、そのカーディングおよびクレジットカード情報の盗み機能を隠す努力をしていません。
「悪意のあるペイロードはバージョン7.36.9で導入され、その後のすべてのバージョンには同じ組み込み攻撃ロジックがありました」とSocket Researchチームは述べています。
カーディング、呼ばれます クレジットカードの詰め物、詐欺師が盗まれたクレジットまたはデビットカード情報の一括リストを商人の支払い処理システムに対してテストして、違反または盗まれたカードの詳細を確認する自動化された支払い詐欺を指します。これは、自動取引乱用と呼ばれるより広範な攻撃カテゴリに該当します。
盗まれたクレジットカードデータの典型的な情報源は、フィッシング、スキミング、スティーラーのマルウェアなどのさまざまな方法を使用して被害者から盗まれたクレジットカードの詳細が積み重ねられたカーディングフォーラムです。 他の脅威アクターに販売されるために宣伝されています さらなる犯罪行為へ。
それらがアクティブであることがわかった後（つまり、紛失、盗難、または無効化された報告ではありません）、詐欺師はそれらを使用してギフトカードまたはプリペイドカードを購入します。脅威アクターは、カード所有者による詐欺のためにフラグが立てられないように、電子商取引サイトで小規模なトランザクションを試みることにより、カードが有効かどうかをテストすることも知られています。
Socketで識別されるRogueパッケージは、盗まれたクレジットカード情報を検証するように設計されています。特に、WooCommerceを使用してCybersourceを使用してMerchantsを支払いゲートウェイとしてターゲットにしています。
このスクリプトは、合法的なショッピングアクティビティのアクションをエミュレートし、製品をプログラム的に見つけ、カートに追加し、WooCommerceチェックアウトページに移動し、ランダム化された請求書の詳細と盗まれたクレジットカードデータで支払いフォームに記入することにより、これを達成します。
実際のチェックアウトプロセスを模倣する際には、略奪されたカードの有効性をテストし、クレジットカード番号、有効期限、CVVなどの関連する詳細を攻撃者のコントロールの下の外部サーバーに除外することです（ “Railgunmisaka[.]com “）詐欺検出システムの注意を引き付けることなく。
「名前がネイティブスピーカーに眉をひそめる可能性がありますが（「Disgrasya」は「災害」または「事故」のためのフィリピン人のスラングです）。これは、マルチステッププロセスを実行するパッケージの適切な特性評価です。
「Pypiで公開され、34,000回以上ダウンロードされたPythonパッケージにこのロジックを埋め込むことで、攻撃者はより大きな自動化フレームワークで簡単に使用できるモジュラーツールを作成し、Disgrasyaを無害なライブラリとして偽装した強力なカーディングユーティリティにしました。」
この記事は面白いと思いましたか？フォローしてください ツイッター そして LinkedIn 投稿するために、私たちが投稿する排他的なコンテンツを読むために。
#Pypiの悪意のあるPythonパッケージは39000回以上ダウンロードされ機密データを盗みました