Фальшиві інструменти безпеки на GitHub: понад 2 000 Windows-систем із бекдором
Кампанія, що триває вже два роки і спершу полювала на власників криптогаманців, звернула увагу на тих, хто досліджує шкідливі програми. Згідно з дослідженням Doctor Web (Dr.Web), опублікованим 5 листопада, понад 2 000 систем Windows було скомпрометовано через шкідливі репозиторії GitHub, які видають себе за засоби безпеки. Приманки не грубі: серед них парсер, очищувач і форматер виводу мережевого сканера Fscan, репозиторії для автоматизації сканування й тестування захищеності, а також утиліти для обробки логів.
Приманка для тих, хто мав би знати краще
Зміна цілей — найпомітніше. За даними Dr.Web, перші заражені репозиторії з'явилися приблизно два роки тому і будувалися навколо блокчейн-ігор, ботів і читів, а шкідливий код ховався у файлах проєктів Visual Studio. Поточна хвиля зберігає ту саму механіку доставки, але змінює упаковку на те, що аналітик цілком імовірно склонує протягом робочого дня. Репозиторії навіть містять інструкції зі встановлення Visual Studio та клонування проєкту, що знижує поріг для менш досвідчених користувачів. Матеріал BleepingComputer зазначає, що операція триває близько двох років.Де ховається код
Шкідлива логіка розташована не в тій частині репозиторію, яку перевіряльник зазвичай читає. У файлах .csproj вона сидить у процедурі PreBuildEvent, що виконується до компіляції проєкту. У файлах .suo, які більшість вважає одноразовим станом редактора, вона надходить як команда PowerShell. У вихідних текстах Go і Python, один зразок має назву FscanOutput_v2.2.py, код відсунуто за довгі послідовності пробілів, старий прийом, який, за зауваженням Dr.Web, досі працює. Ця перша стадія, що визначається як PowerShell.Packed.270, записується в шляхи на кшталт C:\Users\Public\Pictures\t.ps1 і розшифровує посилання на завантаження архіву Quixo.7z, який розпаковується в C:\ProgramData\Windows.Microsoft.Photos.Microsoft.exe — це застосунок на Electron
Архів доставляє Microsoft.exe, що визначається як Trojan.Loader.3261 і побудований на Electron. Він модульний, версіонований (1.4.5 на момент звіту) і поводиться як продукт, що підтримується: завантажує другий зашифрований пакет Nexara.7z, надсилає відомості про систему в Telegram-бот, закріплюється в системі, намагається підвищити привілеї та вимикає Windows Defender, UAC, сповіщення, відновлення системи і службу тіньових копій, додаючи винятки для Defender. Далі він упроваджує наступні стадії в легітимні процеси, зокрема RegAsm.exe, dwwin.exe і dwm.exe.Цей розбір ясно показує, що атака становить серйозну загрозу навіть для досвідчених користувачів, включно з фахівцями з інформаційної безпеки. - Dr.Web
Два режими обходу і запасний варіант
Завантажувач має кілька способів уникнути аналізу. Dr.Web описує основний шлях Mode3 і запасний Mode2:- Підміна explorer.exe як батьківського процесу завантажувача.
- Вимкнення Smart App Control через зміну значення реєстру VerifiedAndReputablePolicyState.
- Перезавантаження ntdll.dll з диска для зняття хуків засобів захисту та прямі системні виклики через Halo's Gate.
- Патчинг EtwEventWrite і AmsiScanBuffer у пам'яті, щоб засліпити трасування подій і перевірку скриптів для цього процесу.
- Відкат до винятків Defender для regasm.exe і dwm.exe, а потім розшифрування й упровадження модулів через PowerShell, якщо основний шлях не спрацює.
Що збирають корисні навантаження
Фінальні стадії — це бекдор, перехоплювач буфера обміну і стилер. Дві копії BackDoor.AsyncRAT.115 упроваджуються на різних портах, що, за словами Dr.Web, дозволяє двом операторам керувати однією машиною одночасно. Trojan.InjectNET.14 розміщує Trojan.Clipper.688 у regasm.exe, щоб підміняти адреси криптогаманців у буфері обміну, і надсилає знімки екрана та відомості про хост через Telegram. JS.Stealer.191 перевіряє наявність пісочниць і віртуальних машин, після чого збирає дані браузерів, XML-профілі FileZilla, MobaXterm.ini, wcx_ftp.ini від Total Commander, налаштування VPN, файли месенджерів, ігрові акаунти й токени Discord. Зібрані дані стискаються й надсилаються через того ж Telegram-бота.Зняття страхувальної сітки
Завантажувач також намагається видалити ESET, McAfee і Malwarebytes та прописує домени антивірусних компаній у файл hosts, щоб відрізати ці продукти від серверів оновлень. Він видаляє все в system32\drivers\etc, крім короткого білого списку, що, за даними Dr.Web, робиться, аби користувач не міг створювати й використовувати резервні копії. Невикористаний код у зразку вказує на ще один компонент — незавершений проєкт на Electron під назвою WUDFHost.exe, який міг би створити службу для закріплення і повторно завантажувати Microsoft.exe після видалення.Чому копіювання інструментів — це проблема ланцюга постачання
Ніщо з цього не потребує zero-day чи вигадливого експлойта. Потрібна людина з дедлайном, пошуковик і репозиторій, достатньо схожий на те, що їй потрібно. Засоби безпеки особливо вразливі, бо багато з них невеликі, написані одним автором і поширюються як вихідний код, який передбачається запускати. Парсер виводу сканера — саме те, що аналітик завантажує, переглядає й виконує. Те саме стосується будь-якого бінарника, отриманого за посиланням: походження важливіше за те, наскільки корисним виглядає файл. Наш посібник із перевірки завантажень через Tor описує звички роботи з контрольними сумами й підписами, які ускладнюють таку підміну.Практичні звички
Кілька перевірок зупинили б цей ланцюжок у різних точках:- Читайте хуки збирання. PreBuildEvent, postinstall-скрипт або крок у Makefile, що викликає PowerShell, — це код, а не конфігурація.
- Збирайте інструменти із зафіксованого коміту й порівнюйте цей коміт із тим, який ви переглядали.
- Запускайте незнайомі інструменти в одноразовій віртуальній машині без спільного буфера обміну й монтування хоста.
- Вважайте .suo, .user та інші файли стану редактора виконуваним вмістом, бо в цій кампанії вони ним і були.
- Ставтеся з підозрою до репозиторіїв з інструкціями зі встановлення для початківців: це стратегія поширення, а не люб'язність.