Cibercrimeiros estão abusando de um backdoor Python chamado VIPERTUNNEL, escondendo-o atrás de um arquivo DLL falso e uma cadeia de carregamento obfuscada em várias etapas para tunnelar tráfego silenciosamente fora das redes de vítimas. O backdoor utiliza um arquivo Python especial chamado sitecustomize.py, localizado em C:\ProgramData\cp49s\Lib\, que auto-carrega no início do interpretador e pode executar código silenciosamente sem entrada de linha de comando.
Detalhes Técnicos
O backdoor utiliza o módulo ctypes para interagir com a API do sistema operacional.
O arquivo sitecustomize.py é carregado automaticamente no início do interpretador Python.
O backdoor é escondido em um arquivo DLL falso e utiliza uma cadeia de carregamento obfuscada em várias etapas para evitar detecção.
O backdoor pode tunnelar tráfego silenciosamente fora das redes de vítimas.
Observações
O arquivo sitecustomize.py não foi detectado como malicioso ou suspeito por VirusTotal ou OTX.
O risco associado a este backdoor é considerado baixo devido à falta de detecção por sistemas de segurança e à natureza oculta do backdoor.
