Киберспециалисти са мишена на кампания със зловредни проекти в GitHub, представяни като инструменти за мрежово сканиране, тестове за сигурност и анализ на логове. Изследователи от Dr. Web са установили над 2000 компрометирани Windows системи, заразени с бекдор, крадец на информация и зловреден софтуер за подмяна на криптовалутни адреси.

Нападатели разпространяват зловреден код чрез GitHub хранилища, които имитират легитимни проекти за автоматизация и инструменти за киберсигурност. Кампанията продължава от около две години, но през последните месеци извършителите са променили подхода си и вече насочват атаките към специалисти, работещи с мрежови скенери, инструменти за тестване и системи за анализ на събития.

Според компанията за киберсигурност Dr. Web досега са компрометирани над 2000 Windows системи.

От криптопотребители към специалисти по сигурността

В началото кампанията е била насочена основно към потребители на криптовалутни портфейли. Нападателите са използвали примамки като блокчейн игри, ботове и инструменти за измама в компютърни игри.

Впоследствие тактиката се е променила. В GitHub започнали да се появяват хранилища, представяни като полезни решения за автоматизиране на задачи по сигурността.

Един от примерите, открити от Dr. Web, е фалшив скрипт за обработка, почистване и форматиране на резултатите от мрежовия скенер Fscan. Проектът е рекламиран като лек инструмент, който улеснява работата с резултатите от сканирането.

Този подход увеличава вероятността зловредният код да бъде изтеглен и изпълнен от хора, които по професионални причини редовно използват външни инструменти и скриптове.

Зловредният код се прикрива в проектни файлове

Изследователите са открили зловредни инструкции във Visual Studio проектни файлове, Python скриптове и Go изходен код. Кодът е прикрит зад дълги последователности от празни пространства – техника, която затруднява визуалното откриване при бегъл преглед.

При някои Visual Studio проекти се използва механизъм за изпълнение на команди преди компилацията (pre-build event). Така зловредният код може да бъде задействан още при подготовката на проекта, без потребителят непременно да подозира, че стартира допълнителна операция.

Модулен Electron зареждащ компонент подготвя заразяването

Веригата на заразяване използва PowerShell, за да извлече криптирана връзка за изтегляне на следващия компонент. Той е модулен зареждащ софтуер, базиран на Electron и носещ името Microsoft.exe.

След стартиране компонентът установява механизми за постоянно присъствие в системата, опитва да повиши привилегиите си и да деактивира защитни и възстановителни функции на Windows. След това внедрява следващия етап на атаката в легитимни процеси.

Dr. Web описва шест техники за избягване на засичането, използвани в режим Mode3, който е стандартният режим на работа на зареждащия компонент:

1. Представя explorer.exe като родителски процес на зловредния софтуер.
2. Променя стойност в системния регистър на Windows, за да деактивира Smart App Control.
3. Възстановява оригиналния код на ntdll.dll от диска, с което премахва куки (hooks), поставени от защитен софтуер.
4. Използва директни системни извиквания на Windows, които са по-трудни за прихващане от инструментите за сигурност.
5. Променя функцията EtwEventWrite в паметта, за да потиска проследяването на събития в засегнатия процес.
6. Променя AmsiScanBuffer в паметта, за да затрудни антивирусното сканиране на скриптове.

Ако Mode3 не успее да се стартира, зареждащият компонент преминава към Mode2. В този режим той добавя изключения в Microsoft Defender и използва PowerShell скрипт, за да декриптира и внедри зловредните модули в процеса RegAsm.exe.

AsyncRAT, кражба на информация и подмяна на криптоадреси

Крайният полезен товар включва три основни компонента:

• AsyncRAT – бекдор, който осигурява отдалечен достъп и контрол върху заразената система.
• Clipper – зловреден софтуер, който подменя копирани в клипборда адреси на криптовалутни портфейли с адреси, контролирани от нападателите.
• Infostealer – компонент за събиране и извличане на чувствителна информация.

Крадецът на информация събира данни от браузъри, настройки на VPN връзки, конфигурационни файлове на FTP клиенти, профили за игрови платформи и токени за Discord. Събраната информация се изпраща към нападателите чрез Telegram бот.

Това създава няколко паралелни риска – от компрометиране на онлайн акаунти и корпоративни достъпи до кражба на криптоактиви чрез подмяна на адреса на получателя при копиране и поставяне.

Зловредният софтуер атакува и защитните механизми

Според Dr. Web зареждащият компонент се опитва да премахва антивирусни продукти като ESET, McAfee и Malwarebytes. Освен това той се опитва да прекъсне връзката им със сървърите за актуализации и да възпрепятства механизмите за архивиране на Windows.

Изследователите са открили и привидно незавършен компонент, който може да поддържа работата на зареждащия софтуер и да го изтегля повторно, ако бъде премахнат от диска на заразената система.

Тази находка подсказва, че операторът на кампанията разработва допълнителни механизми за устойчивост и възстановяване на зловредната инфекция.

GitHub проектите изискват същата проверка като всеки външен софтуер

Кампанията показва, че GitHub хранилищата не трябва да се приемат автоматично за безопасен източник на инструменти, дори когато проектите изглеждат насочени към професионална аудитория.

За специалистите по сигурността са особено важни проверката на изходния код, прегледът на проектните настройки и build събитията, както и изпълнението на непознати инструменти в изолирана среда. При Visual Studio проектите трябва да се обръща внимание и на командите, които се изпълняват автоматично преди компилация.

Dr. Web публикува списък с индикатори за компрометиране (IoC), свързани с кампанията, който може да бъде използван при проверка на потенциално засегнати системи.