Шкідливе програмне забезпечення поширюється через фальшиві інструменти безпеки на GitHub

Кіберзлочинці використовують платформу GitHub для поширення шкідливого програмного забезпечення, маскуючи його під легітимні інструменти для автоматизації сканування та аналізу журналів безпеки. Кампанія, що триває протягом останніх двох років, змінила вектор атаки з користувачів криптовалютних гаманців на фахівців із кібербезпеки.

Про це повідомляє BleepingComputer

Згідно зі звітом дослідників компанії Dr. Web, понад 2000 комп’ютерів під управлінням Windows вже скомпрометовано. Шкідливий код впроваджено у файли проєктів Visual Studio, Python-скрипти та файли вихідного коду мовою Go. Для приховування зловмисного вмісту автори кампанії застосовують метод маскування за допомогою довгих послідовностей пробілів.

Інфекційний ланцюжок ініціюється через PowerShell, який завантажує модульний завантажувач Microsoft.exe на базі Electron. Цей завантажувач забезпечує стійкість у системі, підвищує рівень доступу та вимикає функції захисту Windows.

Зловмисники використовують шість методів уникнення виявлення, а у разі невдачі застосовують додаткові сценарії для додавання виключень у Microsoft Defender та впровадження коду в системні процеси.

— Дослідники Dr. Web

Фінальними етапами атаки є розгортання бекдора AsyncRAT, кліпера для підміни адрес криптовалютних гаманців у буфері обміну та інфостілера. Останній збирає дані браузерів, налаштування VPN, конфігурації FTP-клієнтів та дані ігрових акаунтів, передаючи їх через Telegram-бот. Програмне забезпечення також здійснює спроби видалення антивірусних рішень ESET, McAfee та Malwarebytes, блокуючи їхній зв’язок із серверами оновлень. Наразі автори кампанії продовжують вдосконалювати інструментарій, додаючи функції для відновлення завантажувача у разі його видалення.