Gefährliche PyPI-Pakete nutzen Instagram- und TikTok-APIs für Angriffe

MÜNCHEN (IT BOLTWISE) – In der Welt der Cybersicherheit sind neue Bedrohungen allgegenwärtig. Jüngste Entdeckungen von Sicherheitsforschern haben gezeigt, dass bösartige Pakete im Python Package Index (PyPI) Repository hochgeladen wurden, die als Werkzeuge zur Überprüfung gestohlener E-Mail-Adressen gegen die APIs von TikTok und Instagram fungieren.

Die Entdeckung dieser bösartigen Pakete im PyPI-Repository hat in der Cybersicherheitsgemeinschaft für Aufsehen gesorgt. Diese Pakete, die als ‘checker tools’ bezeichnet werden, wurden entwickelt, um gestohlene E-Mail-Adressen gegen die APIs von TikTok und Instagram zu validieren. Obwohl die Pakete mittlerweile entfernt wurden, hatten sie bereits zahlreiche Downloads verzeichnet, was auf eine erhebliche Verbreitung und potenzielle Gefährdung hinweist.

Die Namen der betroffenen Python-Pakete waren ‘checker-SaGaF’, ‘steinlurks’ und ‘sinnercore’. Jedes dieser Pakete hatte eine spezifische Funktion: ‘checker-SaGaF’ überprüfte, ob eine E-Mail-Adresse mit einem TikTok- oder Instagram-Konto verknüpft ist, indem es HTTP-POST-Anfragen an die Passwort-Wiederherstellungs-API von TikTok und die Login-Endpunkte von Instagram sendete. Diese Methode ermöglicht es Angreifern, zu bestätigen, ob ein Konto existiert, was den Weg für weitere Angriffe ebnet.

Einmal validiert, können diese Informationen von Bedrohungsakteuren genutzt werden, um Drohungen auszusprechen, Spam zu versenden oder gefälschte Berichte zu erstellen, um Konten zu sperren. Validierte Benutzerlisten werden oft im Dark Web verkauft, was zeigt, wie wertvoll solche Informationen in kriminellen Kreisen sind. Die zweite bösartige Software, ‘steinlurks’, zielte auf Instagram-Konten ab, indem sie gefälschte HTTP-POST-Anfragen sendete, die die Instagram-Android-App nachahmten, um die Erkennung zu umgehen.

‘Sinnercore’ hingegen zielte darauf ab, den Passwort-Wiederherstellungsprozess für einen bestimmten Benutzernamen auszulösen. Darüber hinaus bot es Funktionen zur Extraktion von Informationen aus Telegram, einschließlich Name, Benutzer-ID und Premium-Status. Diese Pakete zeigen, wie raffiniert und vielseitig moderne Cyberangriffe sein können.

Die Enthüllung dieser Pakete fällt mit der Entdeckung eines weiteren bösartigen Pakets namens ‘dbgpkg’ zusammen, das als Debugging-Utility getarnt war, aber tatsächlich eine Hintertür auf dem System des Entwicklers installierte. Diese Hintertür ermöglichte die Ausführung von Code und die Exfiltration von Daten. Interessanterweise enthielt dieses Paket die gleiche Nutzlast wie ein zuvor entdecktes Paket namens ‘discordpydebug’, was auf eine mögliche Verbindung zu einer bekannten Hackergruppe hindeutet.

Die Verwendung solcher Techniken zeigt, wie ausgeklügelt und vorsichtig die Angreifer vorgehen, um eine langfristige Präsenz auf kompromittierten Systemen zu etablieren. Die Entdeckung dieser Bedrohungen unterstreicht die Notwendigkeit, dass Entwickler und Unternehmen wachsam bleiben und ihre Sicherheitsmaßnahmen kontinuierlich verbessern, um sich gegen solche Angriffe zu schützen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!