Investigadores de ciberseguridad han descubierto tres paquetes en el repositorio Python Package Index (PyPI) diseñados para distribuir sigilosamente una nueva familia de malware llamada ZiChatBot en sistemas Windows y Linux.
"Si bien estos paquetes wheel implementan las funciones descritas en sus páginas web de PyPI, su verdadero propósito es entregar archivos maliciosos de forma encubierta", indicó Kaspersky. "A diferencia del malware tradicional, ZiChatBot no se comunica con un servidor de comando y control (C2) dedicado, sino que utiliza una serie de APIs REST de la aplicación de chat público Zulip como su infraestructura C2". La actividad ha sido descrita como un "ataque a la cadena de suministro de PyPI cuidadosamente planificado y ejecutado" por la compañía rusa de ciberseguridad.
- uuid32-utils (1,479 descargas)
- colorinal (614 descargas)
- termncolor (387 descargas)
Los tres paquetes fueron subidos a PyPI durante un breve período entre el 16 y el 22 de julio de 2025. Mientras que uuid32-utils y colorinal utilizan cargas maliciosas similares, termncolor es un paquete de apariencia benigna que lista colorinal como dependencia.
En sistemas Windows, una vez instalado cualquiera de los dos primeros paquetes, el código malicioso extrae un DLL dropper ("terminate.dll") y lo escribe en el disco. En el momento en que la biblioteca se importa a un proyecto, el DLL se carga, actuando como un dropper para ZiChatBot, después de lo cual establece una entrada de ejecución automática en el Registro de Windows y ejecuta código para eliminarse del sistema anfitrión.
La versión Linux del dropper de objeto compartido ("terminate.so") instala el malware en la ruta "/tmp/obsHub/obs-check-update" y configura una entrada en crontab. Independientemente del sistema operativo en el que se ejecute, ZiChatBot está diseñado para ejecutar shellcode recibido de su servidor C2. Después de ejecutar el comando, el malware envía un emoji de corazón como respuesta para indicar al servidor que la operación fue exitosa.
No está claro quién está detrás de la campaña. Sin embargo, Kaspersky señaló que el dropper comparte un "64 % de similitud" con otro dropper utilizado por un grupo de hackers alineado con Vietnam llamado OceanLotus (también conocido como APT32). A finales de 2024, se observó que este actor de amenazas atacaba a la comunidad china de ciberseguridad con proyectos envenenados de Visual Studio Code que se hacían pasar por complementos de Cobalt Strike para distribuir un troyano que se ejecuta automáticamente cuando se compila el proyecto. El malware utiliza el servicio de toma de notas Notion como C2, según un análisis de ThreatBook.
Kaspersky señaló que si la campaña de la cadena de suministro de PyPI es efectivamente obra de OceanLotus, representa la estrategia del actor de amenazas para ampliar su alcance objetivo. "Aunque los correos electrónicos de phishing siguen siendo un método de infección inicial común para OceanLotus, el grupo también está explorando activamente nuevas formas de comprometer víctimas a través de diversos ataques a la cadena de suministro", dijo.
