Поддельные инструменты безопасности на GitHub заразили более 2000 компьютеров с Windows
Специалистов по кибербезопасности атакуют через заражённые проекты на GitHub. Вредонос устанавливает бэкдор AsyncRAT и программу для кражи данных, а по данным Dr. Web, уже скомпрометировано более 2000 компьютеров с Windows.
Главное в цифрах
- Заражено компьютеров с Windows: более 2000
- Длительность кампании: около двух лет
- Итоговые payload'ы: AsyncRAT, клиппер и инфостилер
Кампания длится около двух лет. Сначала злоумышленник нацеливался на пользователей криптокошельков, но недавно переключился на инструменты для автоматизации сканирования, тестирования безопасности и анализа логов. Например, один из вредоносных репозиториев выдавался за простой скрипт для разбора и форматирования вывода сетевого сканера Fscan.
Ранее приманками были блокчейн-игры, боты и читы, которые привлекали энтузиастов блокчейна и геймеров.
Как устроена атака
Вредоносный код Dr. Web нашёл в файлах проектов Visual Studio, скриптах Python и исходниках Go. Он спрятан за длинными участками пробелов, что старый, но до сих пор работающий приём. В некоторых проектах Visual Studio код запускается на этапе pre-build события, то есть до компиляции.
Цепочка начинается с PowerShell, который получает зашифрованную ссылку на модульный загрузчик Electron под именем «Microsoft.exe». Загрузчик закрепляется в системе, повышает привилегии, отключает функции безопасности и восстановления Windows и внедряет следующий этап в легитимные процессы. В основном режиме Mode3 исследователи описали шесть техник обхода защиты. Если он не запускается, используется Mode2: он добавляет исключения в Microsoft Defender и внедряет полезную нагрузку в RegAsm.exe.
Что крадёт и что удаляет
Итоговые payload'ы включают бэкдор AsyncRAT, клиппер, который подменяет адреса криптокошельков в буфере обмена, и инфостилер. Инфостилер собирает данные браузеров, настройки VPN, конфигурации FTP-клиентов, данные игровых аккаунтов и токены Discord, а затем отправляет их через Telegram-бота.
Вредонос также пытается удалить антивирусы ESET, McAfee и Malwarebytes, отключить их от серверов обновлений и мешает резервному копированию Windows. Исследователи нашли и незавершённый компонент, который может восстанавливать загрузчик, если его удалили с диска. По их мнению, авторы продолжают дорабатывать вредонос.
