Investigadores de ciberseguridad han descubierto tres paquetes en el repositorio Python Package Index (PyPI) que están diseñados para entregar sigilosamente una familia de malware previamente desconocida llamada ZiChatBot en sistemas Windows y Linux.
«Si bien estos paquetes de ruedas implementan las características descritas en sus páginas web PyPI, su verdadero propósito es entregar de forma encubierta archivos maliciosos», dijo Kaspersky. «A diferencia del malware tradicional, ZiChatBot no se comunica con un servidor de comando y control (C2) dedicado, sino que utiliza una serie de API REST de la aplicación pública de chat del equipo. Zulip como su infraestructura C2.»
La actividad ha sido descrita como un «ataque a la cadena de suministro PyPI cuidadosamente planificado y ejecutado» por la empresa rusa de ciberseguridad. Los nombres de los paquetes, que desde entonces han sido eliminados, se enumeran a continuación:
- uuid32-utils (1.479 descargas)
- colorinal (614 descargas)
- termncolor (387 descargas)
Los tres paquetes se cargaron en PyPI durante un breve período entre el 16 y el 22 de julio de 2025. Si bien uuid32-utils y colorinal utilizan cargas útiles maliciosas similares, termncolor es un paquete de apariencia benigna que incluye colorinal como una dependencia.
En los sistemas Windows, una vez instalado cualquiera de los dos primeros paquetes, el código malicioso extrae un gotero DLL («terminate.dll») y lo escribe en el disco. En el momento en que se importa la biblioteca a un proyecto, se carga la DLL, que actúa como un cuentagotas para ZiChatBot, después de lo cual establece una entrada de ejecución automática en el Registro de Windows y ejecuta el código para eliminarse del host.
La versión de Linux del dropper de objetos compartidos («terminate.so») coloca el malware en la ruta «/tmp/obsHub/obs-check-update» y configura una entrada crontab. Independientemente del sistema operativo en el que se esté ejecutando, ZiChatBot está diseñado para ejecutar el código shell recibido desde su servidor C2. Después de ejecutar el comando, el malware envía un emoji de corazón como respuesta para indicarle al servidor que la operación fue exitosa.
No está claro exactamente quién está detrás de la campaña. Sin embargo, Kaspersky dijo que el dropper comparte un «64% de similitud» con otro dropper utilizado por un grupo de hackers alineado con Vietnam llamado OceanLotus (también conocido como APT32).
A finales de 2024, se observó que el actor de amenazas apuntaba a la comunidad de ciberseguridad china con proyectos envenenados de Visual Studio Code disfrazados de complementos de Cobalt Strike para entregar un troyano que se ejecuta automáticamente cuando se compila el proyecto. El malware utiliza el servicio de toma de notas Notion como C2, según un análisis de ThreatBook.
Kaspersky señaló que si la campaña de la cadena de suministro de PyPI es realmente obra de OceanLotus, representa la estrategia del actor de amenazas para ampliar su alcance.
«Aunque los correos electrónicos de phishing siguen siendo un método de infección inicial común para OceanLotus, el grupo también está explorando activamente nuevas formas de comprometer a las víctimas a través de diversos ataques a la cadena de suministro», dijo.