Un nuevo troyano de acceso remoto (RAT) basado en Python, conocido como PylangGhost, se está implementando en cibercampañas atribuidas al grupo norcoreano Famous Chollima.
Según una investigación de Cisco Talos, este malware, funcionalmente similar al previamente documentado GolangGhost, se utiliza para atacar a personas con experiencia en criptomonedas y tecnologías blockchain.
En campañas recientes, los atacantes han utilizado entrevistas de trabajo falsas para engañar a las víctimas y que ejecuten código malicioso. Estas campañas se dirigen específicamente a usuarios de Windows con la nueva variante de Python, mientras que el RAT basado en Golang continúa utilizándose contra sistemas macOS.
El ataque comienza con ofertas de empleo fraudulentas, a menudo suplantando la identidad de empresas de criptomonedas reconocidas como Coinbase y Uniswap.
Los solicitantes de empleo son redirigidos a sitios web de evaluación de habilidades creados con el framework React, donde se les solicita que ingresen datos personales y respondan una serie de preguntas.
Al finalizar, se les solicita a los usuarios que graben un video otorgando acceso a la cámara, seguido de instrucciones para instalar controladores de video falsos mediante la línea de comandos.
El comando malicioso desencadena la descarga de un archivo ZIP que contiene módulos de Python y un script de Visual Basic. Este script descomprime el archivo y ejecuta el troyano utilizando un intérprete de Python camuflado llamado nvidia.py.
El malware permite a los atacantes controlar remotamente las máquinas infectadas, cargar o descargar archivos y extraer datos confidenciales, incluyendo credenciales de servicios como Metamask, 1Password y Phantom.
Cisco Talos no ha encontrado evidencia de que los usuarios de Cisco se hayan visto afectados. La mayoría de las víctimas conocidas hasta el momento se encuentran en India, y el impacto general sigue siendo limitado según la información de código abierto.