SolanaCry использовала репозиторий для атак на разработчиков через ИИ-агентов
Кампания SolanaCry использовала вредоносный репозиторий GitHub SolanaUpdateTools/solana-starter-kit, чтобы атаковать разработчиков через веб-браузерных ИИ-агентов для написания кода. Агент, который искал стартовый проект Solana, мог выбрать этот репозиторий и выполнить предписанную в файле README команду PowerShell. Она загружала и запускала удалённую полезную нагрузку. Атака затрагивала системы Windows, на которых выполнялась команда.
Дроппер на PowerShell декодировал и записал 14 встроенных файлов: 13 легитимных компонентов NetSupport Manager v12.10 с цифровой подписью и предоставленный злоумышленником файл конфигурации client32.ini. В конфигурации инструмент удалённого доступа направлялся на maxwintodaybtc.com:443, отключались уведомления для пользователя и возможность разорвать соединение. Операторам разрешалось подключаться с любого IP-адреса, а интервал проверки связи устанавливался на 60 секунд.
Затем дроппер запускал клиент NetSupport, очищал историю Windows RunMRU и удалял собственный скрипт. NetSupport позволяет управлять экраном, клавиатурой и мышью, передавать файлы и удалённо выполнять команды. Среди его возможностей также запись звука, доступ к реестру и перечисление пользователей.
Операцию связывают с кластером EVALUSION NetSupport на основании совпадения значения RADIUSSecret в конфигурации. Исследователи также обнаружили сходство с ранее задокументированной кампанией против трейдеров: в обоих случаях команды PowerShell собирали URL из переменных и передавали загруженное содержимое в конвейер для выполнения. В этой кампании URL полезной нагрузки имел вид developer-update.app/update/indicator. На момент расследования ресурс был недоступен, поэтому полезную нагрузку восстановили из веб-архива.
Описанная атака использовала результаты поиска и инструкции в репозитории, рассчитанные на агентов, которые просматривают веб-страницы и выполняют команды оболочки. Для заражения требовалось, чтобы агент или пользователь запустил команду PowerShell из файла README. Эксплуатация уязвимости программного обеспечения в статье не описана.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
