Backdoorokat, infostealereket és egyéb rosszindulatú programokat telepítenek a GitHub-on terjedő hamis biztonsági projektekkel. Ezúttal a kiberbiztonsági szakembereket vették célba a támadók.
A két évvel ezelőtt kezdődött kampány kezdetben a kriptovaluta felhasználókat célozta, viszont a kiberbűnözők profilváltását követően, most olyan rosszindulatú repository-kat tesznek közzé a GitHub-on, amelyek látszólag automatikus szkennelésre, biztonsági tesztelésre és logelemzésre valók.
A Dr. Web kiberbiztonsági cég elemzése szerint eddig több mint 2000 Windows-rendszer fertőződött meg ily módon. Az egyik rosszindulatú repository egy olyan hamis szkriptet tartalmazott, amely egyszerű megoldást ígért az Fscan hálózati szkenner kimeneti adatainak elemzésére, tisztítására és formázására. Ezen felül a cég a Visual Studio projektfájljaiba, a Phyton szkriptekbe és a Go forrásfájlokba ágyazva, hosszú szóközök mögé rejtve talált rosszindulatú kódokat, ami bár régi technikának minősül, továbbra is hatékonynak bizonyult.
A vizsgálatok szerint néhány Visual Studio projektben egy előre elkészített eseményrutin futtatja a kódot még a fordítás előtt. A fertőzési lánc PowerShell segítségével kér le egy titkosított letöltési linket, amely egy moduláris, Electron-alapú, „Microsoft.exe” nevű loader. A loader létrehozza a perzisztenciát a fertőzött gépen, megemeli a jogosultságait, letiltja a Windows biztonsági és helyreállítási funkcióit, majd beilleszti a kártevőt a legitim folyamatokba.
A Dr.Web hat különböző, a biztonsági megoldások megkerülésére szolgáló technikát azonosított a betöltő alapértelmezett Mode3 üzemmódjában:
- A rendszer úgy kerül beállításra, mintha az explorer.exe lenne a kártékony program szülőfolyamata.
- Módosít egy, a Registry-ben található értéket, amellyel letiltja a Smart App Control biztonsági funkciót.
- A lemezről visszaállítja az ntdll.dll eredeti kódját, így eltávolítja azokat a módosításokat (hookokat), amelyeket a biztonsági szoftverek helyeztek el benne.
- Olyan közvetlen rendszerhívásokat (system calls) használ, amelyeket a biztonsági eszközök nehezebben tudnak észlelni vagy elfogni.
- A memóriában módosítja az EtwEventWrite függvényt, így az érintett folyamatban elnyomja az eseménykövetést (Event Tracing).
- A memóriában módosítja az AmsiScanBuffer függvényt, hogy megzavarja a szkriptek vírusirtó általi ellenőrzését.
Ha a Mode3 üzemmódban nem sikerül elindítani a rosszindulatú modulokat, a betöltő a Mode2 üzemmódot alkalmazza. Ebben az esetben kivételeket ad a Microsoft Defender kizárási listájához, majd egy PowerShell-szkript segítségével visszafejti és befecskendezi a kártékony program összetevőit a RegAsm.exe folyamatba. Ezek között szerepel az AsyncRAT backdoor, a Clipper malware és egy infostealer, ami böngészőadatokat, VPN beállításokat, FTP-kliens konfigurációs fájlokat, játékfiók-adatokat és Discord tokeneket gyűjt, amelyeket egy Telegram boton keresztül juttat el a támadóknak. A Dr. Web szerint a kártékony program igyekszik eltávolítani az ESET, a McAfee és a Malwarebytes víruskeresőket a fertőzött eszközökről, megakadályozza a szoftverek frissítéseit és megzavarja a Windows biztonsági mentéseit is.
A vizsgálatok során találtak egy befejezetlen komponenst is, ami segíthet a loader futtatásában és ismételt letöltésében, ha eltávolítanák a gazdagépről, ami arra utal, hogy a malware fejlesztése folyamatos. A kampány során megfigyelt indikátorok teljes listája itt érhető el.