Fałszywe narzędzia bezpieczeństwa na GitHubie: 2000 komputerów z Windows z backdoorem
Kampania prowadzona od dwóch lat, która wcześniej polowała na właścicieli portfeli kryptowalut, zwróciła się ku osobom badającym złośliwe oprogramowanie. Zgodnie z badaniem opublikowanym przez Doctor Web (Dr.Web) 5 listopada ponad 2000 systemów Windows zostało przejętych przez złośliwe repozytoria GitHuba, które przedstawiają się jako narzędzia bezpieczeństwa. Wabiki nie są prymitywne: obejmują parser, cleaner i formatter wyjścia skanera sieciowego Fscan, repozytoria do automatyzacji skanowania i testów bezpieczeństwa oraz narzędzia do przetwarzania logów.
Wabik dla tych, którzy powinni wiedzieć lepiej
Zmiana celu jest tu najbardziej godna uwagi. Według Dr.Web pierwsze zainfekowane repozytoria pojawiły się około dwóch lat temu i dotyczyły gier blockchain, botów oraz cheatów, a złośliwy kod ukryty był w plikach projektów Visual Studio. Obecna fala zachowuje tę samą mechanikę dostarczania, ale zmienia opakowanie na coś, co analityk prawdopodobnie sklonuje w ciągu dnia pracy. Repozytoria zawierają nawet instrukcje instalacji Visual Studio i klonowania projektu, co obniża próg dla mniej doświadczonych użytkowników. Tekst BleepingComputer zauważa, że operacja trwa od około dwóch lat.Gdzie ukrywa się kod
Złośliwa logika nie znajduje się w tej części repozytorium, którą recenzent zwykle czyta. W plikach .csproj siedzi w procedurze PreBuildEvent, uruchamianej przed kompilacją projektu. W plikach .suo, które większość traktuje jako jednorazowy stan edytora, przychodzi jako polecenie PowerShell. W źródłach Go i Pythona, jedna próbka nazywa się FscanOutput_v2.2.py, kod jest zepchnięty za długie ciągi białych znaków, stary trik, który według Dr.Web wciąż działa. Ten pierwszy etap, wykrywany jako PowerShell.Packed.270, jest zapisywany w ścieżkach takich jak C:\Users\Public\Pictures\t.ps1 i odszyfrowuje link do pobrania archiwum o nazwie Quixo.7z, które rozpakowuje się do C:\ProgramData\Windows.Microsoft.Photos.Microsoft.exe to aplikacja Electron
Archiwum dostarcza Microsoft.exe, wykrywany jako Trojan.Loader.3261 i zbudowany na Electronie. Jest modułowy, wersjonowany (1.4.5 w momencie publikacji raportu) i zachowuje się jak utrzymywany produkt: pobiera drugi zaszyfrowany pakiet Nexara.7z, wysyła informacje o systemie do bota Telegram, ustanawia trwałość, próbuje podnieść uprawnienia i wyłącza Windows Defender, UAC, powiadomienia, przywracanie systemu oraz usługę kopii w tle, dodając wykluczenia dla Defendera. Następnie wstrzykuje kolejne etapy do legalnych procesów, w tym RegAsm.exe, dwwin.exe i dwm.exe.Ta analiza jasno pokazuje, że atak stanowi poważne zagrożenie nawet dla doświadczonych użytkowników, w tym specjalistów ds. bezpieczeństwa informacji. - Dr.Web
Dwa tryby unikania i rozwiązanie zapasowe
Loader zawiera kilka sposobów unikania analizy. Dr.Web opisuje główną ścieżkę Mode3 i zapasową Mode2:- Podszywanie się pod explorer.exe jako proces nadrzędny loadera.
- Wyłączanie Smart App Control przez zmianę wartości rejestru VerifiedAndReputablePolicyState.
- Ponowne wczytywanie ntdll.dll z dysku, aby usunąć hooki produktów bezpieczeństwa, oraz bezpośrednie wywołania systemowe przez Halo's Gate.
- Patchowanie w pamięci EtwEventWrite i AmsiScanBuffer, aby oślepić śledzenie zdarzeń i skanowanie skryptów dla tego procesu.
- Przejście na wykluczenia Defendera dla regasm.exe i dwm.exe, a następnie odszyfrowanie i wstrzyknięcie modułów przez PowerShell, jeśli główna ścieżka zawiedzie.
Co zbierają ładunki
Ostatnie etapy to backdoor, przechwytywacz schowka i infostealer. Dwie kopie BackDoor.AsyncRAT.115 są wstrzykiwane na różnych portach, co według Dr.Web pozwala dwóm operatorom kontrolować tę samą maszynę jednocześnie. Trojan.InjectNET.14 umieszcza Trojan.Clipper.688 w regasm.exe, aby podmieniać adresy portfeli kryptowalut w schowku, i przesyła zrzuty ekranu oraz dane hosta przez Telegram. JS.Stealer.191 sprawdza obecność sandboxów i maszyn wirtualnych, po czym zbiera dane przeglądarek, profile XML FileZilli, MobaXterm.ini, wcx_ftp.ini Total Commandera, ustawienia VPN, pliki komunikatorów, konta w grach i tokeny Discorda. Dane są kompresowane i wysyłane przez tego samego bota Telegram.Usuwanie siatki bezpieczeństwa
Loader próbuje też odinstalować ESET, McAfee i Malwarebytes oraz wpisuje domeny producentów antywirusów do pliku hosts, odcinając te produkty od serwerów aktualizacji. Usuwa wszystko z system32\drivers\etc poza krótką białą listą, co według Dr.Web ma uniemożliwić użytkownikowi tworzenie i używanie kopii zapasowych. Nieużywany kod w próbce wskazuje na kolejny komponent, niedokończony projekt Electron o nazwie WUDFHost.exe, który mógłby utworzyć usługę trwałości i ponownie pobrać Microsoft.exe po jego usunięciu.Dlaczego kopiowanie narzędzi to problem łańcucha dostaw
Nic z tego nie wymaga luki zero-day ani wymyślnego exploita. Wymaga osoby z terminem, wyszukiwarki i repozytorium wystarczająco podobnego do tego, czego potrzebuje. Narzędzia bezpieczeństwa są na to szczególnie narażone, bo wiele z nich jest małych, napisanych przez jednego autora i rozprowadzanych jako kod źródłowy, który zakłada się, że będzie uruchamiany. Parser wyjścia skanera to dokładnie to, co analityk pobiera, przegląda i uruchamia. To samo dotyczy każdego pliku binarnego pobranego z linku: pochodzenie ma większe znaczenie niż to, jak użyteczny wydaje się plik. Nasz przewodnik po weryfikacji pobrań przez Tor opisuje nawyki dotyczące sum kontrolnych i podpisów, które utrudniają takie podmiany.Praktyczne nawyki
Kilka kontroli zatrzymałoby ten łańcuch w wielu punktach:- Czytaj hooki kompilacji. PreBuildEvent, skrypt postinstall lub krok w Makefile wywołujący PowerShell to kod, nie konfiguracja.
- Buduj narzędzia z przypiętego commita i porównuj ten commit z tym, który przejrzałeś.
- Uruchamiaj nieznane narzędzia w jednorazowej maszynie wirtualnej bez udostępniania schowka i montowania hosta.
- Traktuj pliki .suo, .user i inne pliki stanu edytora jako zawartość wykonywalną, bo w tej kampanii właśnie nią były.
- Uważaj na repozytoria z instrukcjami instalacji dla początkujących; to strategia dystrybucji, nie uprzejmość.