Шкідливі інструменти безпеки на GitHub заражають системи бекдорами
Шкідливі репозиторії на GitHub маскуються під інструменти безпеки та поширюють бекдор AsyncRAT і викрадач даних.
Фахівців із кібербезпеки атакують через шкідливі проєкти на GitHub, замасковані під інструменти для сканування, тестування безпеки й аналізу журналів подій. Дослідники Dr. Web повідомили про компрометацію понад 2 тисяч систем Windows у межах цієї кампанії.
За даними BleepingComputer, кампанія розпочалася приблизно два роки тому та спершу була націлена на користувачів криптогаманців. Раніше зловмисники використовували як приманки блокчейн-ігри, ботів і програми для читів, а згодом змінили тематику репозиторіїв на засоби, які можуть зацікавити спеціалістів із захисту інформації.
Шкідливий код у проєктах
Один із виявлених репозиторіїв рекламувався як легкий скрипт для обробки, очищення та форматування результатів мережевого сканера Fscan. За висновками Dr. Web, шкідливий код ховали у файлах проєктів Visual Studio, Python-скриптах і вихідному коді Go, використовуючи великі фрагменти пробілів. У частині проєктів Visual Studio цей код запускався ще до компіляції через процедуру попереднього збирання.
Ланцюг зараження використовує PowerShell для отримання зашифрованого посилання на завантаження. Воно доставляє модульний завантажувач на базі Electron під назвою Microsoft.exe. За інформацією дослідників, він забезпечує закріплення у системі, намагається підвищити привілеї, вимикає функції безпеки та відновлення Windows і впроваджує наступні компоненти у легітимні процеси.
Викрадення даних і обхід захисту
Завантажувач, за описом Dr. Web, може маскувати походження процесів, вимикати Smart App Control, перешкоджати роботі засобів моніторингу подій та антивірусному скануванню скриптів. Якщо основний режим запуску не спрацьовує, програма додає винятки до Microsoft Defender і використовує RegAsm.exe для розшифрування та запуску корисних навантажень.
На заражені пристрої доставляють бекдор AsyncRAT, кліпер для заміни адрес криптогаманців у буфері обміну та викрадач даних. Останній збирає відомості з браузерів, налаштування VPN, конфігураційні файли FTP-клієнтів, дані ігрових облікових записів і токени Discord, після чого передає їх через Telegram-бота. Також шкідливе програмне забезпечення намагається видалити ESET, McAfee та Malwarebytes, порушити їхнє з'єднання із серверами оновлень і втрутитися у роботу резервного копіювання Windows.
