Ferramentas de segurança falsas no GitHub: 2.000 máquinas Windows com backdoor
Uma campanha em curso há dois anos, que antes perseguia donos de carteiras de criptomoedas, voltou a atenção para quem investiga malware. De acordo com a pesquisa publicada pela Doctor Web (Dr.Web) em 5 de novembro, mais de 2.000 sistemas Windows foram comprometidos por meio de repositórios maliciosos no GitHub que se apresentam como ferramentas de segurança. Os chamarizes não são grosseiros: incluem um analisador, limpador e formatador da saída do scanner de rede Fscan, repositórios para automação de varreduras e testes de segurança, e utilitários para processar logs.
Um chamariz para quem deveria saber melhor
A mudança de alvo é a parte notável. Segundo a Dr.Web, os primeiros repositórios infectados surgiram há cerca de dois anos e giravam em torno de jogos de blockchain, bots e ferramentas de trapaça, com o código malicioso escondido em arquivos de projeto do Visual Studio. A onda atual mantém a mesma mecânica de entrega, mas troca a embalagem por algo que um analista clonaria de forma plausível durante um dia de trabalho. Os repositórios incluem até instruções para instalar o Visual Studio e clonar o projeto, o que reduz a barreira para usuários menos experientes. A reportagem do BleepingComputer observa que a operação está ativa há cerca de dois anos.Onde o código se esconde
A lógica maliciosa não está na parte do repositório que um revisor leria normalmente. Nos arquivos .csproj, fica em uma rotina PreBuildEvent que roda antes de o projeto compilar. Nos arquivos .suo, que a maioria trata como estado descartável do editor, chega como um comando do PowerShell. Em fontes Go e Python, uma amostra se chama FscanOutput_v2.2.py, o código é empurrado para trás de longas sequências de espaços em branco, um truque antigo que, segundo a Dr.Web, ainda funciona. Esse primeiro estágio, detectado como PowerShell.Packed.270, é gravado em caminhos como C:\Users\Public\Pictures\t.ps1 e descriptografa um link de download para um arquivo chamado Quixo.7z, que se descompacta em C:\ProgramData\Windows.Microsoft.Photos.Microsoft.exe é um aplicativo Electron
O arquivo entrega o Microsoft.exe, detectado como Trojan.Loader.3261 e construído sobre Electron. Ele é modular, versionado (1.4.5 no momento do relatório) e se comporta como um produto mantido: baixa um segundo pacote criptografado, o Nexara.7z, envia informações do sistema para um bot do Telegram, estabelece persistência, tenta elevar privilégios e desliga o Windows Defender, o UAC, as notificações, a Restauração do Sistema e o Serviço de Cópias de Volume, além de adicionar exclusões ao Defender. Em seguida, injeta os estágios seguintes em processos legítimos, incluindo RegAsm.exe, dwwin.exe e dwm.exe.Esta análise mostra claramente que este ataque representa uma ameaça séria até para usuários experientes, incluindo profissionais de segurança da informação. - Dr.Web
Dois modos de evasão e uma alternativa
O carregador traz várias formas de escapar da inspeção. A Dr.Web descreve um caminho principal Mode3 e uma alternativa Mode2:- Falsificação do explorer.exe como processo pai do carregador.
- Desativação do Smart App Control editando o valor de registro VerifiedAndReputablePolicyState.
- Recarregamento da ntdll.dll a partir do disco para remover os hooks dos produtos de segurança, e uso de chamadas de sistema diretas via Halo's Gate.
- Patch em memória do EtwEventWrite e do AmsiScanBuffer para cegar o rastreamento de eventos e a verificação de scripts nesse processo.
- Recuo para exclusões do Defender para regasm.exe e dwm.exe e, em seguida, descriptografia e injeção de módulos com PowerShell se o caminho principal falhar.
O que as cargas coletam
Os estágios finais são um backdoor, um sequestrador de área de transferência e um infostealer. Duas cópias do BackDoor.AsyncRAT.115 são injetadas em portas diferentes, o que, segundo a Dr.Web, permite que dois operadores controlem a mesma máquina ao mesmo tempo. O Trojan.InjectNET.14 coloca o Trojan.Clipper.688 no regasm.exe para trocar endereços de carteiras de criptomoedas na área de transferência, e envia capturas de tela e dados do host pelo Telegram. O JS.Stealer.191 verifica a presença de sandboxes e máquinas virtuais antes de coletar dados de navegadores, perfis XML do FileZilla, MobaXterm.ini, o wcx_ftp.ini do Total Commander, configurações de VPN, arquivos de mensageiros, contas de jogos e tokens do Discord. Os dados são comprimidos e enviados pelo mesmo bot do Telegram.Removendo a rede de proteção
O carregador também tenta desinstalar ESET, McAfee e Malwarebytes, e grava domínios de fabricantes de antivírus no arquivo hosts para cortar esses produtos de seus servidores de atualização. Apaga tudo em system32\drivers\etc, exceto uma pequena lista de permissões, o que, segundo a Dr.Web, serve para impedir que o usuário crie e use backups. Código não utilizado na amostra aponta para outro componente, um projeto Electron inacabado chamado WUDFHost.exe, que poderia criar um serviço para persistência e baixar o Microsoft.exe novamente se ele for excluído.Por que copiar e colar ferramentas é um problema de cadeia de suprimentos
Nada disso exige um zero-day ou um exploit engenhoso. Exige uma pessoa com prazo, um mecanismo de busca e um repositório parecido o suficiente com o que ela precisa. Ferramentas de segurança estão especialmente expostas porque muitas são pequenas, de autor único e distribuídas como código-fonte que se espera que as pessoas executem. Um analisador da saída de um scanner é exatamente o que um analista baixa, folheia e executa. O mesmo vale para qualquer binário obtido por um link: a procedência importa mais do que a aparência de utilidade do arquivo. Nosso guia para verificar downloads pelo Tor cobre os hábitos de soma de verificação e assinatura que tornam esse tipo de substituição mais difícil.Hábitos práticos
Algumas verificações teriam interrompido essa cadeia em vários pontos:- Ler os hooks de compilação. Um PreBuildEvent, um script postinstall ou uma etapa do Makefile que chama PowerShell é código, não configuração.
- Compilar ferramentas a partir de um commit fixado e comparar esse commit com o que foi revisado.
- Executar ferramentas desconhecidas em uma máquina virtual descartável, sem compartilhamento de área de transferência ou montagem do host.
- Tratar arquivos .suo, .user e outros estados do editor como conteúdo executável, porque nesta campanha eles eram.
- Desconfiar de repositórios que trazem instruções de instalação para iniciantes; isso é estratégia de distribuição, não cortesia.