Malware Oculto en Paquetes Python Afecta a Desarrolladores en Todo el Mundo

Dos paquetes maliciosos de Python en PyPI imitaron herramientas de IA pero secretamente instalaron el malware JarkaStealer, robando datos sensibles de más de 1,700 usuarios.

Los expertos en ciberseguridad de Kaspersky han descubierto dos paquetes maliciosos de Python en el Índice de Paquetes de Python (PyPI), un repositorio de software ampliamente utilizado, como se anunció el jueves.

Estos paquetes afirmaban ayudar a los desarrolladores a interactuar con modelos de lenguaje avanzados como GPT-4 Turbo y Claude AI, pero en realidad estaban diseñados para instalar un malware llamado JarkaStealer.

Los paquetes, llamados “gptplus” y “claudeai-eng”, parecían legítimos, con descripciones y ejemplos que mostraban cómo podían ser utilizados para crear chats impulsados por IA.

En realidad, solo fingían trabajar utilizando una versión de demostración de ChatGPT. Su verdadero objetivo era distribuir malware. Oculto en el código había un mecanismo que descargaba e instalaba JarkaStealer, comprometiendo el sistema del usuario.

Si Java no estaba ya instalado, los paquetes incluso lo buscarían e instalarían desde Dropbox para garantizar que el malware pudiera funcionar.

Estos paquetes maliciosos estuvieron disponibles durante más de un año, durante el cual fueron descargados más de 1.700 veces por usuarios en más de 30 países.

El malware apuntaba a datos confidenciales como información del navegador, capturas de pantalla, detalles del sistema e incluso tokens de sesión para aplicaciones como Telegram, Discord y Steam. Estos datos robados se enviaban a los atacantes y luego se borraban del ordenador de la víctima.

JarkaStealer es una herramienta peligrosa que se utiliza a menudo para recoger información sensible. También se encontró el código fuente en GitHub, lo que sugiere que las personas que lo distribuían en PyPI pueden no haber sido sus autores originales.

Desde entonces, los administradores de PyPI han eliminado estos paquetes maliciosos, pero podrían aparecer amenazas similares en otros lugares.

Las desarrolladoras que instalaron estos paquetes deberían eliminarlos inmediatamente y cambiar todas las contraseñas y tokens de sesión utilizados en los dispositivos afectados. Aunque el malware no persiste por sí mismo, podría haber robado ya información crítica.

Para mantenerse a salvo, se anima a las desarrolladoras a inspeccionar cuidadosamente el software de código abierto antes de usarlo, incluyendo la comprobación del perfil del editor y los detalles del paquete.

Para mayor seguridad, se pueden incluir herramientas que detecten amenazas en componentes de código abierto en los procesos de desarrollo para ayudar a prevenir este tipo de ataques.