Ciberseguridad

El repositorio de paquetes Python Package Index (PyPI), una pieza clave en el desarrollo de software en Python, vuelve a estar en el punto de mira. Investigadores en ciberseguridad han identificado tres paquetes con malware que, bajo apariencia de herramientas inofensivas, ocultaban funciones para validar direcciones de correo electrónico robadas contra las APIs de TikTok e Instagram. Aunque los paquetes ya han sido eliminados, el daño potencial que podrían haber causado —y aún podrían estar causando— es considerable.

¿Qué paquetes de malware estaban implicados contra Instagram y TikTok?

Los paquetes de malware detectados y retirados que afectaban a Instagram y TikTok eran:

• checker-SaGaF (2.605 descargas)

• steinlurks (1.049 descargas)

• sinnercore (3.300 descargas)

Aunque sus nombres parecen aleatorios o incluso absurdos, su función era muy concreta: comprobar si una dirección de correo electrónico está asociada a una cuenta real en redes sociales como Instagram o TikTok. Esto los convierte en herramientas perfectas para validar listas de credenciales robadas o adquiridas en foros del cibercrimen.

Cómo funciona este tipo de ataque

Según Olivia Brown, investigadora de Socket, el paquete de malware que afecta a Instagram y TikTok más representativo, checker-SaGaF, envía solicitudes HTTP POST a las APIs de recuperación de contraseña de TikTok y los puntos de entrada de Instagram. Si la respuesta del servidor es positiva, el script puede confirmar que esa dirección de email corresponde a una cuenta activa.

Y ese dato aparentemente inocente —una simple validación— es oro puro para los ciberdelincuentes.

Con esa información, pueden:

• Preparar ataques de credential stuffing (uso masivo de combinaciones usuario/contraseña)

• Ejecutar campañas de doxing o acoso online

• Suspender cuentas mediante denuncias falsas coordinadas

• Construir bases de datos de usuarios reales para venderlas en la dark web

Ataques más sofisticados: Instagram y Telegram como objetivos

El paquete steinlurks va un paso más allá. Simula solicitudes desde la app oficial de Instagram para eludir sistemas de detección. Ataca varios endpoints de la plataforma, incluyendo los de recuperación de cuenta, verificación de email y búsqueda de usuarios. Este enfoque más técnico demuestra que los desarrolladores maliciosos conocen bien las arquitecturas de las APIs de estas redes.

Por su parte, sinnercore incluye un arsenal aún más variado. Además de atacar el endpoint de recuperación de contraseña de Instagram, explora funcionalidades centradas en Telegram: puede obtener el nombre, el ID, el estado premium y la biografía de usuarios.

Como si eso fuera poco, también integra utilidades relacionadas con criptomonedas (como precios en tiempo real desde Binance) y funciones para rastrear información detallada de otros paquetes en PyPI. Esto último podría servir para suplantar perfiles de desarrolladores o construir una identidad falsa con apariencia legítima dentro del propio ecosistema Python.

Más allá de Instagram: PyPI y npm, bajo ataque constante

La investigación de Socket y ReversingLabs también ha revelado otros paquetes maliciosos recientes:

• dbgpkg, que simulaba ser una herramienta de depuración y escondía un backdoor capaz de ejecutar código malicioso y extraer datos del sistema del desarrollador.

• discordpydebug, subido por primera vez en 2022 y relacionado con el mismo código malicioso.

• requestsdev, que sería parte de la misma campaña, con 76 descargas antes de ser eliminado.

Estos paquetes comparten un mismo tipo de backdoor altamente evasivo, implementado mediante técnicas avanzadas como el function wrapping y herramientas como GSocket, un toolkit de comunicación encubierta.

Algunos expertos vinculan estos paquetes con el grupo Phoenix Hyena, conocido por sus ataques a entidades rusas durante los primeros meses de la guerra en Ucrania. Aunque no se puede confirmar con certeza, el uso de cargas idénticas refuerza la teoría de una conexión directa o al menos de un imitador con acceso al mismo código.

El caso npm: chatbots y robo de tokens

La amenaza no se limita al mundo Python. En el ecosistema JavaScript también se han detectado paquetes peligrosos. Uno de ellos, koishi-plugin-pinhaofa, se hacía pasar por un corrector ortográfico para chatbots basados en Koishi, pero en realidad:

• Escaneaba todos los mensajes recibidos por el bot

• Detectaba cadenas hexadecimales de 8 caracteres (como hashes, tokens o IDs)

• Enviaba el mensaje completo a una cuenta de QQ preconfigurada

La intención era recopilar posibles secretos incrustados en mensajes, como claves API, tokens JWT o URLs sensibles. Un ataque silencioso, pero con consecuencias potenciales catastróficas.