Злоумышленники распространяют троянизированные репозитории GitHub под видом утилит безопасности
Злоумышленники распространяют троянизированные репозитории GitHub под видом инструментов для сканирования информационной безопасности, тестирования и анализа журналов. В цепочке атаки используются загрузчик, средства удалённого доступа, клиппер и стиллер.
В предыдущих кампаниях злоумышленники нацеливались на пользователей криптовалют с помощью проектов криптоигр, ботов и читов. В новых репозиториях вредоносный код прятали в событиях предварительной сборки проектов Visual Studio и файлах решений, а также в исходниках на Go и Python, маскируя его большим количеством пробелов. Некоторые репозитории содержат инструкции по установке и запуску проектов.
При запуске проекта скрипт PowerShell связывается с инфраструктурой злоумышленников и легитимными сервисами, среди которых YouTube, Telegram, Google Docs, GitCode и Pastebin. Скрипт получает зашифрованную строку с Pastebin и расшифровывает её, чтобы извлечь ссылку на архив Quixo.7z, затем скачивает и распаковывает его. Архив содержит приложение на базе Electron Microsoft.exe (Trojan.Loader.3261). Оно загружает второй архив с зашифрованными полезной нагрузкой и конфигурационными данными, собирает сведения об узле и отправляет их через Telegram.
Загрузчик закрепляется в системе, запрашивает повышенные привилегии, отключает или ослабляет средства защиты Windows, добавляет исключения для Defender и пытается удалить ESET, McAfee и Malwarebytes. Для внедрения он нацеливается на процессы RegAsm.exe, dwwin.exe и dwm.exe. Среди применяемых способов обхода обнаружения исследователи называют подделку идентификатора родительского процесса, изменение параметра реестра, связанного со Smart App Control, восстановление неперехваченного кода ntdll.dll, прямые системные вызовы и патчинг функций ETW и AMSI. В альтернативных режимах запуска сценарии PowerShell расшифровывают полезные нагрузки и внедряют их.
Основные полезные нагрузки, BackDoor.AsyncRAT.115 и Trojan.InjectNET.14, обеспечивают удалённый доступ и загрузку клиппера. Тот подменяет адреса криптовалютных кошельков в буфере обмена, а также отправляет через Telegram скриншоты и сведения об узле. Другой стиллер на базе Electron, JS.Stealer.191, собирает данные браузеров, файлы VPN и мессенджеров, конфигурации FileZilla и MobaXterm, учётные записи игр и сервисов, а также токены Discord, после чего передаёт собранные данные через Telegram.
Вредоносное ПО также изменяет файл hosts в Windows, блокируя домены производителей средств защиты, и удаляет другие файлы из каталога drivers\etc.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
