Gefälschte Sicherheitstools auf GitHub: 2.000 Windows-Rechner mit Backdoor verseucht
Eine seit zwei Jahren laufende Kampagne, die einst Krypto-Wallet-Besitzer verfolgte, hat nun die Menschen im Visier, die Malware untersuchen. Nach Forschung von Doctor Web (Dr.Web), veröffentlicht am 5. November, sind mehr als 2.000 Windows-Systeme über bösartige GitHub-Repositories kompromittiert worden, die sich als Sicherheitstools ausgeben. Die Köder sind nicht plump: Sie umfassen einen Parser, Cleaner und Formatter für die Ausgabe des Netzwerkscanners Fscan, Repositories für Scan-Automatisierung und Sicherheitstests sowie Werkzeuge zur Verarbeitung von Logs.
Ein Köder für Leute, die es besser wissen müssten
Die Verschiebung der Ziele ist der bemerkenswerte Teil. Dr.Web zufolge erschienen die ersten infizierten Repositories vor etwa zwei Jahren und drehten sich um Blockchain-Spiele, Bots und Cheat-Tools, wobei der bösartige Code in Visual-Studio-Projektdateien versteckt war. Die aktuelle Welle behält dieselbe Zustellmechanik bei, ändert aber die Verpackung hin zu etwas, das ein Analyst während eines Arbeitstages plausibel klonen würde. Die Repositories enthalten sogar Anleitungen zum Installieren von Visual Studio und zum Klonen des Projekts, was die Hürde für weniger erfahrene Nutzer senkt. Der Bericht von BleepingComputer merkt an, dass die Operation seit etwa zwei Jahren läuft.Wo der Code sich versteckt
Die bösartige Logik steckt nicht in dem Teil des Repositories, den ein Prüfer normalerweise lesen würde. In .csproj-Dateien sitzt sie in einer PreBuildEvent-Routine, die vor dem Kompilieren des Projekts läuft. In .suo-Dateien, die die meisten als verzichtbaren Editor-Zustand betrachten, kommt sie als PowerShell-Befehl. In Go- und Python-Quellen, ein Sample heißt FscanOutput_v2.2.py, ist der Code hinter langen Leerraumfolgen verborgen, ein alter Trick, der laut Dr.Web noch immer funktioniert. Diese erste Stufe, erfasst als PowerShell.Packed.270, wird an Pfade wie C:\Users\Public\Pictures\t.ps1 geschrieben und entschlüsselt einen Download-Link für ein Archiv namens Quixo.7z, das sich nach C:\ProgramData\Windows.Microsoft.Photos entpackt.Microsoft.exe ist eine Electron-Anwendung
Das Archiv liefert Microsoft.exe, erkannt als Trojan.Loader.3261 und auf Electron aufgebaut. Es ist modular, versioniert (1.4.5 zum Zeitpunkt des Berichts) und verhält sich wie ein gepflegtes Produkt: Es lädt ein zweites verschlüsseltes Paket, Nexara.7z, sendet Systeminformationen an einen Telegram-Bot, richtet Persistenz ein, versucht die Rechteausweitung und schaltet Windows Defender, UAC, Benachrichtigungen, Systemwiederherstellung und Volumeschattenkopien ab, während es Defender-Ausnahmen hinzufügt. Danach injiziert es die nächsten Stufen in legitime Prozesse, darunter RegAsm.exe, dwwin.exe und dwm.exe.Diese Untersuchung zeigt deutlich, dass dieser Angriff selbst für erfahrene Nutzer eine ernste Bedrohung darstellt, einschließlich Fachleuten für Informationssicherheit. - Dr.Web
Zwei Umgehungsmodi und ein Fallback
Der Loader bringt mehrere Wege mit, einer Analyse zu entgehen. Dr.Web beschreibt einen primären Mode3-Pfad und einen Mode2-Fallback:- Spoofing von explorer.exe als Elternprozess des Loaders.
- Abschalten von Smart App Control durch Ändern des Registry-Werts VerifiedAndReputablePolicyState.
- Neuladen von ntdll.dll von der Festplatte, um Hooks von Sicherheitsprodukten zu entfernen, sowie direkte Systemaufrufe über Halo's Gate.
- Patchen von EtwEventWrite und AmsiScanBuffer im Speicher, um Event Tracing und Skript-Scans für diesen Prozess blind zu machen.
- Rückfall auf Defender-Ausnahmen für regasm.exe und dwm.exe und anschließendes Entschlüsseln und Injizieren von Modulen per PowerShell, falls der primäre Pfad scheitert.
Was die Payloads sammeln
Die letzten Stufen sind eine Backdoor, ein Clipboard-Hijacker und ein Stealer. Zwei Kopien von BackDoor.AsyncRAT.115 werden auf unterschiedlichen Ports injiziert, was laut Dr.Web zwei Operatoren erlaubt, denselben Rechner gleichzeitig zu steuern. Trojan.InjectNET.14 setzt Trojan.Clipper.688 in regasm.exe ab, um Krypto-Wallet-Adressen in der Zwischenablage auszutauschen, und meldet Screenshots und Host-Details über Telegram. JS.Stealer.191 prüft auf Sandboxes und virtuelle Maschinen, bevor es Browserdaten, FileZilla-XML-Profile, MobaXterm.ini, die wcx_ftp.ini von Total Commander, VPN-Einstellungen, Messenger-Dateien, Gaming-Konten und Discord-Token sammelt. Die gesammelten Daten werden komprimiert und über denselben Telegram-Bot versendet.Das Sicherheitsnetz entfernen
Der Loader versucht außerdem, ESET, McAfee und Malwarebytes zu deinstallieren, und schreibt Domains von Antivirenherstellern in die hosts-Datei, um diese Produkte von ihren Update-Servern abzuschneiden. Er löscht alles in system32\drivers\etc außer einer kurzen Whitelist, was laut Dr.Web geschieht, um den Nutzer daran zu hindern, Backups zu erstellen und zu verwenden. Ungenutzter Code im Sample deutet auf eine weitere Komponente hin, ein unfertiges Electron-Projekt namens WUDFHost.exe, das einen Dienst zur Persistenz anlegen und Microsoft.exe erneut herunterladen könnte, falls sie gelöscht wird.Warum Copy-and-paste-Tooling ein Lieferkettenproblem ist
Nichts davon erfordert eine Zero-Day-Lücke oder einen raffinierten Exploit. Es erfordert eine Person mit Termindruck, eine Suchmaschine und ein Repository, das nahe genug an dem ist, was sie braucht. Sicherheitstools sind dafür besonders anfällig, weil viel davon klein, von einzelnen Autoren stammt und als Quellcode verteilt wird, den man ausführen soll. Ein Parser für Scanner-Ausgaben ist genau das, was ein Analyst herunterlädt, überfliegt und ausführt. Dasselbe gilt für jede Binärdatei, die über einen Link kommt: Die Herkunft zählt mehr als der Eindruck, wie nützlich die Datei ist. Unser Leitfaden zum Überprüfen von Downloads über Tor beschreibt die Prüfsummen- und Signaturgewohnheiten, die diese Art der Substitution erschweren.Praktische Gewohnheiten
Einige Prüfungen hätten diese Kette an mehreren Stellen gestoppt:- Build-Hooks lesen. Ein PreBuildEvent, ein Postinstall-Skript oder ein Makefile-Schritt, der PowerShell aufruft, ist Code, keine Konfiguration.
- Tools aus einem festgeschriebenen Commit bauen und diesen Commit mit dem vergleichen, den man geprüft hat.
- Unbekanntes Tooling in einer Wegwerf-VM ohne Zwischenablage-Freigabe oder Host-Mounts ausführen.
- .suo, .user und andere Editor-Zustandsdateien als ausführbaren Inhalt behandeln, denn in dieser Kampagne waren sie das.
- Vorsichtig bei Repositories sein, die Einrichtungsanleitungen für Anfänger mitliefern; das ist eine Vertriebsstrategie, keine Höflichkeit.