Zdjęcie: © Clint Patterson / Unsplash
Źródło: unsplash.com/photos/dYEuFB8KQJk
Specjaliści od cyberbezpieczeństwa są celem kampanii, w której napastnicy publikują na GitHubie zainfekowane projekty udające narzędzia do skanowania, testów bezpieczeństwa i analizy logów. Repozytoria zawierają kod instalujący backdoora oraz infostealera. Według firmy Dr. Web kampania doprowadziła dotąd do przejęcia ponad 2000 systemów Windows.
Kampania rozpoczęła się około dwóch lat temu. Początkowo operatorzy kierowali złośliwe projekty do użytkowników portfeli kryptowalutowych, a także do odbiorców zainteresowanych grami blockchain, botami i narzędziami do oszukiwania w grach. Ostatnio zmienili profil przynęt i zaczęli publikować projekty, które mogą wyglądać wiarygodnie dla administratorów oraz badaczy zajmujących się bezpieczeństwem.
Dr. Web opisał między innymi fałszywy skrypt przedstawiany jako lekkie narzędzie do przetwarzania, czyszczenia i formatowania wyników skanera sieciowego Fscan. Złośliwy kod ukryto w plikach projektów Visual Studio, skryptach Pythona oraz plikach źródłowych Go. W części przypadków wykorzystano długie ciągi pustych znaków, aby utrudnić zauważenie kodu. W projektach Visual Studio kod może być uruchamiany w ramach procedury wykonywanej przed kompilacją.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Malware monitorujące schowek i mogące podmieniać znajdujące się w nim dane, na przykład adresy portfeli kryptowalutowych.
Rodzaj złośliwego oprogramowania przeznaczonego do potajemnego zbierania i wykradania informacji z zainfekowanego urządzenia, takich jak hasła, dane portfeli kryptowalutowych lub klucze dostępu.
Po uruchomieniu złośliwego projektu łańcuch infekcji wykorzystuje PowerShell do pobrania zaszyfrowanego odnośnika. Ten prowadzi do modularnego loadera o nazwie Microsoft.exe, który odpowiada za dalsze etapy ataku. Według badaczy loader próbuje utrzymać się w systemie, uzyskać wyższe uprawnienia, ograniczyć działanie funkcji bezpieczeństwa i odzyskiwania systemu, a także uruchamiać malware w legalnych procesach. Dr. Web zidentyfikował w jego domyślnym trybie sześć technik utrudniających wykrycie. W alternatywnym wariancie loader może dodatkowo konfigurować wykluczenia w Microsoft Defender i wykorzystywać skrypt PowerShell do odszyfrowania oraz uruchomienia kolejnych komponentów.
Na zainfekowane urządzenia trafiają trzy główne rodzaje ładunków. AsyncRAT zapewnia funkcje backdoora, klipper podmienia adresy portfeli kryptowalutowych kopiowane do schowka, a infostealer zbiera dane z przeglądarek, ustawienia VPN, pliki konfiguracyjne klientów FTP, dane kont gamingowych oraz tokeny Discorda. Zebrane informacje są następnie wyprowadzane z urządzenia za pośrednictwem bota w serwisie Telegram.
Opisany loader próbuje usuwać zainstalowane programy ESET, McAfee i Malwarebytes, odcinać je od serwerów aktualizacji oraz zakłócać działanie kopii zapasowych systemu Windows. Takie funkcje zwiększają ryzyko utraty danych i utrudniają usunięcie infekcji. Badacze znaleźli również pozornie niedokończony komponent, który mógłby pomagać w utrzymaniu loadera oraz ponownym pobraniu go po usunięciu z dysku. Dr. Web ocenia to jako sygnał, że operator rozwija kampanię i może dodawać do malware kolejne funkcje.
Kampania pokazuje, że samo przeznaczenie projektu opisanego w repozytorium nie jest wystarczającą gwarancją bezpieczeństwa. Szczególne znaczenie ma weryfikacja kodu oraz sposobu jego uruchamiania przed wykorzystaniem narzędzia w środowisku firmowym. Dr. Web udostępnił pełną listę wskaźników kompromitacji zaobserwowanych podczas analizy, co może pomóc administratorom sprawdzić, czy ich systemy miały kontakt z elementami tej kampanii.
Brak komentarzy. Bądź pierwszy!