El nuevo malware ZiChatBot utiliza las API REST de Zulip como servidor de comando y control

Se ha descubierto un malware recientemente descubierto llamado ZiChatBot que utiliza silenciosamente las API REST de una aplicación legítima de chat en equipo llamada Zulip para recibir y ejecutar comandos de sus operadores. Este enfoque es inusual porque el malware nunca se comunica con un servidor privado que las herramientas de seguridad puedan marcar o bloquear, lo que dificulta su detección mediante el monitoreo de red estándar.

La amenaza se descubrió después de que se encontraran una serie de paquetes Python maliciosos en PyPI, el índice de paquetes Python ampliamente utilizado, a partir de julio de 2025. Kaspersky Threat Attribution Engine detectó una similitud de código del 64 % entre el dropper ZiChatBot y un dropper previamente vinculado al grupo OceanLotus APT. ZiChatBot Malware utiliza las API REST de Zulip como canal de comando. Desde entonces, los paquetes maliciosos se eliminaron de PyPI y la organización Zulip utilizada por los atacantes se desactivó oficialmente.

ZiChatBot adopta un enfoque ingenioso pero peligroso para el comando y control al enrutar toda la actividad a través de la API REST pública de Zulip. La publicación El nuevo malware ZiChatBot utiliza las API REST de Zulip como servidor de comando y control apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗