GitHub'daki sahte güvenlik araçları: 2.000 Windows makinesine arka kapı
Bir zamanlar kripto cüzdan sahiplerinin peşine düşen ve iki yıldır süren bir kampanya, dikkatini kötü amaçlı yazılımları inceleyen kişilere çevirdi. 5 Kasım'da yayımlanan Doctor Web (Dr.Web) araştırmasına göre, kendilerini güvenlik aracı olarak sunan kötü amaçlı GitHub depoları üzerinden 2.000'den fazla Windows sistemi ele geçirildi. Yemler kaba değil: Fscan ağ tarayıcısının çıktısı için bir ayrıştırıcı, temizleyici ve biçimlendirici, tarama otomasyonu ve güvenlik testi depoları ile log işleme araçları içeriyorlar.
Daha iyisini bilmesi gerekenlere yönelik bir yem
Dikkat çekici olan, hedeflerin değişmesi. Dr.Web'e göre ilk enfekte depolar yaklaşık iki yıl önce ortaya çıktı ve blok zinciri oyunları, botlar ve hile araçları etrafında kurulmuştu; kötü amaçlı kod Visual Studio proje dosyalarında saklanıyordu. Mevcut dalga aynı teslimat mekanizmasını koruyor ancak ambalajı, bir analistin çalışma günü içinde makul biçimde klonlayacağı bir şeye dönüştürüyor. Depolar Visual Studio kurulumu ve projenin klonlanması için talimatlar bile içeriyor; bu da daha az deneyimli kullanıcılar için eşiği düşürüyor. BleepingComputer'ın haberi operasyonun yaklaşık iki yıldır sürdüğünü belirtiyor.Kod nerede saklanıyor
Kötü amaçlı mantık, bir gözden geçirenin normalde okuyacağı depo bölümünde değil. .csproj dosyalarında proje derlenmeden önce çalışan bir PreBuildEvent rutininin içinde duruyor. Çoğu kişinin atılabilir düzenleyici durumu saydığı .suo dosyalarında ise bir PowerShell komutu olarak geliyor. Go ve Python kaynaklarında, bir örnek FscanOutput_v2.2.py adını taşıyor, kod uzun boşluk dizilerinin arkasına itiliyor; Dr.Web'in hâlâ işe yaradığını belirttiği eski bir yöntem. PowerShell.Packed.270 olarak izlenen bu ilk aşama C:\Users\Public\Pictures\t.ps1 gibi yollara yazılıyor ve Quixo.7z adlı arşiv için bir indirme bağlantısının şifresini çözüyor; arşiv C:\ProgramData\Windows.Microsoft.Photos içine açılıyor.Microsoft.exe bir Electron uygulaması
Arşiv, Trojan.Loader.3261 olarak tespit edilen ve Electron üzerine kurulu Microsoft.exe dosyasını getiriyor. Modüler, sürümlenmiş (rapor sırasında 1.4.5) ve bakımı yapılan bir ürün gibi davranıyor: ikinci bir şifreli paket olan Nexara.7z'yi indiriyor, sistem bilgilerini bir Telegram botuna gönderiyor, kalıcılık kuruyor, yetki yükseltmeyi deniyor ve Defender istisnaları eklerken Windows Defender'ı, UAC'yi, bildirimleri, Sistem Geri Yükleme'yi ve Birim Gölge Kopyası hizmetini kapatıyor. Ardından sonraki aşamaları RegAsm.exe, dwwin.exe ve dwm.exe dahil meşru süreçlere enjekte ediyor.Bu inceleme, saldırının bilgi güvenliği uzmanları dahil deneyimli kullanıcılar için bile ciddi bir tehdit oluşturduğunu açıkça gösteriyor. - Dr.Web
İki kaçınma modu ve bir yedek yol
Yükleyici, incelemeden kaçmak için birkaç yol barındırıyor. Dr.Web birincil bir Mode3 yolu ve bir Mode2 yedek yolu tanımlıyor:- Yükleyicinin üst süreci olarak explorer.exe'nin taklit edilmesi.
- VerifiedAndReputablePolicyState kayıt değeri değiştirilerek Smart App Control'ün devre dışı bırakılması.
- Güvenlik ürünlerinin kancalarını kaldırmak için ntdll.dll'nin diskten yeniden yüklenmesi ve Halo's Gate ile doğrudan sistem çağrıları.
- Bu süreç için olay izlemeyi ve betik taramasını kör etmek üzere EtwEventWrite ve AmsiScanBuffer'ın bellekte yamalanması.
- Birincil yol başarısız olursa regasm.exe ve dwm.exe için Defender istisnalarına geri dönülmesi, ardından PowerShell ile modüllerin şifresinin çözülüp enjekte edilmesi.
Yükler ne topluyor
Son aşamalar bir arka kapı, bir pano kaçırıcı ve bir bilgi hırsızı. BackDoor.AsyncRAT.115'in iki kopyası farklı bağlantı noktalarına enjekte ediliyor; Dr.Web'e göre bu, iki operatörün aynı makineyi eşzamanlı kontrol etmesini sağlıyor. Trojan.InjectNET.14, panodaki kripto cüzdan adreslerini değiştirmek için Trojan.Clipper.688'i regasm.exe içine bırakıyor ve ekran görüntüleri ile makine bilgilerini Telegram üzerinden gönderiyor. JS.Stealer.191, sanal alan ve sanal makine kontrolü yaptıktan sonra tarayıcı verilerini, FileZilla XML profillerini, MobaXterm.ini dosyasını, Total Commander'ın wcx_ftp.ini dosyasını, VPN ayarlarını, mesajlaşma dosyalarını, oyun hesaplarını ve Discord jetonlarını topluyor. Veriler sıkıştırılıp aynı Telegram botu üzerinden gönderiliyor.Güvenlik ağını kaldırmak
Yükleyici ayrıca ESET, McAfee ve Malwarebytes'i kaldırmayı deniyor ve bu ürünleri güncelleme sunucularından koparmak için antivirüs üreticisi alan adlarını hosts dosyasına yazıyor. system32\drivers\etc içindeki kısa bir beyaz liste dışındaki her şeyi siliyor; Dr.Web bunun kullanıcının yedek oluşturmasını ve kullanmasını engellemek için yapıldığını söylüyor. Örnekteki kullanılmayan kod, WUDFHost.exe adlı tamamlanmamış bir Electron projesine işaret ediyor; bu bileşen kalıcılık için bir hizmet oluşturabilir ve Microsoft.exe silinirse yeniden indirebilir.Kopyala-yapıştır araçları neden bir tedarik zinciri sorunu
Bunların hiçbiri bir zero-day ya da ustaca bir exploit gerektirmiyor. Bir teslim tarihi olan kişi, bir arama motoru ve ihtiyacına yeterince benzeyen bir depo gerektiriyor. Güvenlik araçları buna özellikle açık, çünkü çoğu küçük, tek yazarlı ve insanların çalıştırması beklenen kaynak kodu olarak dağıtılıyor. Bir tarayıcı çıktısı ayrıştırıcısı tam olarak bir analistin indirip göz atıp çalıştırdığı şeydir. Aynı durum bir bağlantıdan alınan her ikili dosya için geçerli: dosyanın ne kadar kullanışlı göründüğünden çok kaynağı önemli. Tor üzerinden indirmeleri doğrulama rehberimiz, bu tür bir değiştirmeyi zorlaştıran sağlama toplamı ve imza alışkanlıklarını anlatıyor.Pratik alışkanlıklar
Birkaç kontrol bu zinciri birçok noktada durdururdu:- Derleme kancalarını okuyun. PowerShell çağıran bir PreBuildEvent, postinstall betiği veya Makefile adımı yapılandırma değil koddur.
- Araçları sabitlenmiş bir commit'ten derleyin ve o commit'i incelediğiniz commit ile karşılaştırın.
- Tanımadığınız araçları pano paylaşımı ve ana makine bağlaması olmayan tek kullanımlık bir sanal makinede çalıştırın.
- .suo, .user ve diğer düzenleyici durum dosyalarını çalıştırılabilir içerik olarak görün, çünkü bu kampanyada öyleydiler.
- Yeni başlayanlara yönelik kurulum talimatları içeren depolara karşı temkinli olun; bu bir dağıtım stratejisidir, nezaket değil.