Falsas herramientas de seguridad en GitHub distribuyen puertas traseras y ladrones de información

Profesionales de ciberseguridad están siendo atacados mediante repositorios maliciosos de GitHub que se hacen pasar por herramientas de seguridad, según investigadores de Dr. Web. La campaña comenzó hace unos dos años y al principio se dirigía a usuarios de carteras de criptomonedas. Más recientemente, pasó a proyectos de análisis automatizado, pruebas de seguridad y análisis de registros.

Dr. Web afirma que se han comprometido más de 2.000 sistemas Windows. Uno de los repositorios se presentaba como un script ligero para analizar, limpiar y dar formato a la salida del escáner de red Fscan. Los investigadores encontraron código malicioso oculto en archivos de proyecto de Visual Studio, scripts de Python y archivos de código fuente de Go. Algunos proyectos de Visual Studio ejecutaban el código antes de la compilación mediante una rutina previa a la compilación.

La cadena de infección usa PowerShell para obtener un enlace de descarga cifrado que descarga un cargador modular basado en Electron llamado «Microsoft.exe». El cargador establece persistencia, eleva sus privilegios, desactiva funciones de seguridad y recuperación de Windows e inyecta el malware en procesos legítimos. Dr. Web describe seis técnicas de evasión en el modo predeterminado Mode3 del cargador. Si ese modo no se inicia, Mode2 añade exclusiones a Microsoft Defender y utiliza un script de PowerShell para descifrar e inyectar las cargas en «RegAsm.exe».

Las cargas finales incluyen la puerta trasera AsyncRAT, un malware que sustituye en el portapapeles las direcciones de carteras de criptomonedas y un ladrón de información. Este recopila datos del navegador, ajustes de VPN, archivos de configuración de clientes FTP, datos de cuentas de juegos y tokens de Discord, y luego los envía mediante un bot de Telegram. Dr. Web también afirma que el malware intenta eliminar ESET, McAfee y Malwarebytes, interrumpir su conexión con los servidores de actualización y afectar las copias de seguridad de Windows.

Los investigadores encontraron un componente aparentemente inacabado que podría ayudar a mantener activo el cargador y volver a descargarlo si se elimina del disco. Según ellos, el hallazgo sugiere que el responsable de la amenaza trabaja en nuevas funciones. Dr. Web compartió indicadores de compromiso de la campaña.