Pesquisadores de cibersegurança descobriram três pacotes no repositório **Python Package Index (PyPI)** que foram projetados para entregar furtivamente uma família de malware desconhecida anteriormente chamada **ZiChatBot** em sistemas Windows e Linux. "Embora esses pacotes wheel implementem os recursos descritos em suas páginas da web no PyPI, seu verdadeiro propósito é entregar arquivos maliciosos de forma oculta", disse a **Kaspersky**. "Ao contrário do malware tradicional, o ZiChatBot não se comunica com um servidor dedicado de comando e controle (C2), mas em vez disso usa uma série de APIs REST do aplicativo de chat em equipe público **Zulip** como sua infraestrutura C2." ### Pacotes Maliciosos A atividade foi descrita como um "ataque à cadeia de suprimentos do PyPI cuidadosamente planejado e executado" pela empresa russa de cibersegurança. Os pacotes maliciosos, que desde então foram removidos do PyPI, incluem: * uuid32-utils (1.479 downloads) * colorinal (614 downloads) * termncolor (387 downloads) Esses pacotes foram carregados entre 16 e 22 de julho de 2025. Enquanto `uuid32-utils` e `colorinal` contêm payloads maliciosos semelhantes, `termncolor` lista `colorinal` como uma dependência. ### Processo de Infecção Em sistemas Windows, a instalação de `uuid32-utils` ou `colorinal` extrai um DLL dropper (`terminate.dll`) e o grava em disco. Quando a biblioteca é importada, a DLL é carregada e atua como um dropper para o ZiChatBot. Em seguida, ele estabelece uma entrada de auto-execução no Registro do Windows e se auto-exclui do host. A versão Linux do dropper de objeto compartilhado (`terminate.so`) planta o malware no caminho `/tmp/obsHub/obs-check-update` e configura uma entrada crontab. Independentemente do sistema operacional, o ZiChatBot executa shellcode recebido de seu servidor C2. Após executar o comando, o malware envia um emoji de coração como resposta para sinalizar ao servidor que a operação foi bem-sucedida. ### Atribuição O ator por trás desta campanha permanece incerto. No entanto, a **Kaspersky** observa uma "similaridade de 64%" entre o dropper e outro dropper usado pelo **OceanLotus** (também conhecido como APT32), um grupo de hacking alinhado ao Vietnã. No final de 2024, o **OceanLotus** foi observado visando a comunidade de cibersegurança chinesa com projetos do Visual Studio Code envenenados, disfarçados de plugins do Cobalt Strike. Este ataque entregou um trojan que usou o serviço de anotações Notion como seu C2, de acordo com a **ThreatBook**. A **Kaspersky** sugere que esta campanha de cadeia de suprimentos do PyPI, se atribuída ao **OceanLotus**, indica uma expansão do escopo de alvos do ator de ameaça. "Embora e-mails de phishing ainda sejam um método comum de infecção inicial para o OceanLotus, o grupo também está explorando ativamente novas maneiras de comprometer vítimas por meio de diversos ataques à cadeia de suprimentos", afirmaram.