Herramientas de seguridad falsas en GitHub: 2.000 equipos Windows con puerta trasera
Una campaña que lleva dos años activa y que antes perseguía a propietarios de carteras de criptomonedas ha dirigido su atención a quienes investigan malware. Según la investigación publicada por Doctor Web (Dr.Web) el 5 de noviembre, más de 2.000 sistemas Windows han sido comprometidos mediante repositorios de GitHub maliciosos que se presentan como herramientas de seguridad. Los señuelos no son burdos: incluyen un analizador, limpiador y formateador de la salida del escáner de red Fscan, repositorios para automatizar escaneos y pruebas de seguridad, y utilidades para procesar registros.
Un señuelo dirigido a quienes deberían saberlo
El cambio de objetivo es lo más destacable. Según Dr.Web, los primeros repositorios infectados aparecieron hace unos dos años y giraban en torno a juegos de blockchain, bots y herramientas de trampas, con el código malicioso escondido en archivos de proyecto de Visual Studio. La oleada actual mantiene la misma mecánica de entrega pero cambia el envoltorio por algo que un analista clonaría de forma plausible durante una jornada de trabajo. Los repositorios incluso incluyen instrucciones para instalar Visual Studio y clonar el proyecto, lo que rebaja la barrera para usuarios menos experimentados. La crónica de BleepingComputer señala que la operación lleva unos dos años en marcha.Dónde se esconde el código
La lógica maliciosa no está en la parte del repositorio que un revisor leería normalmente. En los archivos .csproj se aloja en una rutina PreBuildEvent que se ejecuta antes de que el proyecto se compile. En los archivos .suo, que la mayoría considera un estado desechable del editor, llega como un comando de PowerShell. En fuentes de Go y Python, una muestra se llama FscanOutput_v2.2.py, el código se oculta tras largas secuencias de espacios en blanco, un truco antiguo que según Dr.Web sigue funcionando. Esa primera etapa, detectada como PowerShell.Packed.270, se escribe en rutas como C:\Users\Public\Pictures\t.ps1 y descifra un enlace de descarga de un archivo llamado Quixo.7z, que se descomprime en C:\ProgramData\Windows.Microsoft.Photos.Microsoft.exe es una aplicación Electron
El archivo entrega Microsoft.exe, detectado como Trojan.Loader.3261 y construido sobre Electron. Es modular, tiene versión (1.4.5 en el momento del informe) y se comporta como un producto mantenido: descarga un segundo paquete cifrado, Nexara.7z, envía información del sistema a un bot de Telegram, establece persistencia, intenta elevar privilegios y desactiva Windows Defender, UAC, las notificaciones, la Restauración del sistema y el servicio de instantáneas de volumen, a la vez que añade exclusiones a Defender. Después inyecta las siguientes etapas en procesos legítimos, incluidos RegAsm.exe, dwwin.exe y dwm.exe.Este análisis muestra claramente que este ataque supone una amenaza seria incluso para usuarios experimentados, incluidos los profesionales de la seguridad de la información. - Dr.Web
Dos modos de evasión y una alternativa
El cargador incorpora varias formas de evitar la inspección. Dr.Web describe una ruta principal Mode3 y una alternativa Mode2:- Suplantación de explorer.exe como proceso padre del cargador.
- Desactivación de Smart App Control editando el valor de registro VerifiedAndReputablePolicyState.
- Recarga de ntdll.dll desde el disco para eliminar los hooks de productos de seguridad, y uso de llamadas al sistema directas mediante Halo's Gate.
- Parcheo en memoria de EtwEventWrite y AmsiScanBuffer para cegar el seguimiento de eventos y el escaneo de scripts en ese proceso.
- Retorno a exclusiones de Defender para regasm.exe y dwm.exe y, después, descifrado e inyección de módulos con PowerShell si falla la ruta principal.
Qué recogen las cargas útiles
Las etapas finales son una puerta trasera, un secuestrador del portapapeles y un ladrón de información. Se inyectan dos copias de BackDoor.AsyncRAT.115 en puertos distintos, lo que según Dr.Web permite que dos operadores controlen la misma máquina a la vez. Trojan.InjectNET.14 coloca Trojan.Clipper.688 en regasm.exe para sustituir direcciones de carteras cripto en el portapapeles, y envía capturas de pantalla y datos del equipo por Telegram. JS.Stealer.191 comprueba si hay sandboxes y máquinas virtuales antes de recopilar datos de navegadores, perfiles XML de FileZilla, MobaXterm.ini, el wcx_ftp.ini de Total Commander, ajustes de VPN, archivos de mensajería, cuentas de juegos y tokens de Discord. Los datos se comprimen y se envían por el mismo bot de Telegram.Retirar la red de seguridad
El cargador también intenta desinstalar ESET, McAfee y Malwarebytes, y escribe dominios de fabricantes de antivirus en el archivo hosts para cortar a esos productos el acceso a sus servidores de actualización. Borra todo el contenido de system32\drivers\etc salvo una breve lista blanca, algo que según Dr.Web busca impedir que el usuario cree y use copias de seguridad. El código sin usar de la muestra apunta a otro componente, un proyecto Electron sin terminar llamado WUDFHost.exe, que podría crear un servicio para persistir y volver a descargar Microsoft.exe si se elimina.Por qué copiar y pegar herramientas es un problema de cadena de suministro
Nada de esto requiere un zero-day ni un exploit ingenioso. Requiere a una persona con una fecha límite, un buscador y un repositorio que se parezca lo suficiente a lo que necesita. Las herramientas de seguridad están especialmente expuestas porque muchas son pequeñas, de un solo autor y se distribuyen como código fuente que se espera que la gente ejecute. Un analizador de la salida de un escáner es justo lo que un analista descarga, hojea y ejecuta. Lo mismo vale para cualquier binario que llegue por un enlace: la procedencia importa más que la utilidad aparente del archivo. Nuestra guía para verificar descargas a través de Tor cubre los hábitos de sumas de comprobación y firmas que dificultan este tipo de sustitución.Hábitos prácticos
Unas pocas comprobaciones habrían detenido esta cadena en varios puntos:- Leer los hooks de compilación. Un PreBuildEvent, un script postinstall o un paso del Makefile que llama a PowerShell es código, no configuración.
- Compilar las herramientas desde un commit fijado y comparar ese commit con el que se revisó.
- Ejecutar herramientas desconocidas en una máquina virtual desechable, sin compartir el portapapeles ni montar el host.
- Tratar los archivos .suo, .user y demás estado del editor como contenido ejecutable, porque en esta campaña lo eran.
- Desconfiar de los repositorios que incluyen instrucciones de instalación para principiantes; eso es una estrategia de distribución, no una cortesía.