Siete paquetes maliciosos en PyPI explotan el protocolo SMTP de Gmail para ejecutar comandos dañinos

Ataque a la Cadena de Suministro de Software: Paquetes Maliciosos en PyPI Abusan del Protocolo SMTP de Gmail

Un nuevo ataque sofisticado dirigido a la cadena de suministro de software ha sido descubierto, donde actores maliciosos han subido paquetes maliciosos al Python Package Index (PyPI) para distribuir malware. Lo particular de este ataque es que los paquetes maliciosos abusan del protocolo SMTP de Gmail para evadir detecciones y exfiltrar datos sensibles.

Mecanismo del Ataque

Los atacantes han subido siete paquetes maliciosos a PyPI, los cuales incluyen código diseñado para aprovechar el servicio SMTP de Gmail. Estos paquetes, con nombres engañosos que imitan bibliotecas legítimas, instalan un script malicioso que:

• Recopila credenciales y datos sensibles del sistema infectado.
• Utiliza el servidor SMTP de Gmail (smtp.gmail.com) para enviar la información robada a los atacantes.
• Se aprovecha de la confianza en los servicios de Google para evitar filtros de seguridad basados en reputación de IP.

¿Por qué se Abusa del SMTP de Gmail?

El protocolo SMTP (Simple Mail Transfer Protocol) de Gmail es ampliamente utilizado y considerado legítimo, lo que permite que el tráfico malicioso pase desapercibido. Los atacantes aprovechan esto para:

• Evitar bloqueos de firewalls corporativos, ya que el tráfico hacia smtp.gmail.com suele estar permitido.
• Ocultar la exfiltración de datos detrás de comunicaciones cifradas (TLS), dificultando el análisis forense.
• Beneficiarse de la infraestructura confiable de Google para evitar marcar alertas en herramientas de monitoreo.

Implicaciones Técnicas y Riesgos

Este tipo de ataque plantea múltiples riesgos para desarrolladores y empresas:

• Infección de entornos de desarrollo: Al instalarse como dependencias falsas, los paquetes comprometen sistemas de CI/CD y equipos de programación.
• Robo de credenciales y tokens: El malware puede extraer claves API, contraseñas almacenadas en archivos de configuración y cookies de sesión.
• Abuso de recursos corporativos: Si un empleado ejecuta el código malicioso en una red empresarial, los atacantes podrían acceder a datos internos.

Medidas de Mitigación

Para reducir el riesgo de ser víctima de este tipo de ataques, se recomienda:

• Verificar siempre la autenticidad de los paquetes antes de instalarlos, revisando estadísticas de descargas y mantenimiento.
• Implementar soluciones de seguridad de cadena de suministro como Sigstore para verificar firmas digitales.
• Restringir el acceso saliente a SMTP externo en redes corporativas, permitiendo solo servidores de correo autorizados.
• Monitorear el tráfico SMTP inusual, especialmente conexiones desde aplicaciones no relacionadas con el envío de correos.

Conclusión

Este incidente demuestra cómo los atacantes están evolucionando sus técnicas para explotar servicios confiables como Gmail en ataques de cadena de suministro. La combinación de paquetes maliciosos en repositorios públicos y el abuso de protocolos legítimos representa un desafío significativo para la seguridad en el desarrollo de software. Mantener una postura proactiva en la verificación de dependencias y el monitoreo de red es esencial para mitigar estos riesgos.

Fuente original