Falska säkerhetsverktyg på GitHub sprider bakdörrar och informationsstöldare

Cybersäkerhetsproffs utsätts för skadliga GitHub-arkiv som utger sig för att vara säkerhetsverktyg, enligt forskare vid Dr. Web. Kampanjen började för omkring två år sedan och riktade sig först mot användare av kryptoplånböcker. Senare skiftade den till projekt för automatiserad skanning, säkerhetstester och logganalys.

Dr. Web uppger att mer än 2 000 Windows-system har komprometterats. Ett arkiv utgav sig för att vara ett lättviktigt skript som tolkar, rensar och formaterar utdata från nätverksskannern Fscan. Forskarna hittade skadlig kod dold i Visual Studio-projektfiler, Python-skript och Go-källfiler. Vissa Visual Studio-projekt använde en förbyggnadsrutin som körde koden före kompileringen.

Infektionskedjan använder PowerShell för att hämta en krypterad nedladdningslänk till en modulär, Electron-baserad laddare med namnet ”Microsoft.exe”. Laddaren skapar beständig åtkomst, höjer sina behörigheter, stänger av Windows säkerhets- och återställningsfunktioner och injicerar sedan skadlig kod i legitima processer. Dr. Web beskriver sex metoder för att undvika upptäckt i laddarens standardläge Mode3. Om det läget inte startar lägger Mode2 till undantag i Microsoft Defender och använder ett PowerShell-skript för att dekryptera och injicera nyttolaster i ”RegAsm.exe”.

De slutliga nyttolasterna omfattar bakdörren AsyncRAT, klipprogram som byter ut kryptoplånboksadresser i urklippet och en informationsstöldare. Den samlar in webbläsardata, VPN-inställningar, konfigurationsfiler för FTP-klienter, spelkontodata och Discord-token och skickar sedan uppgifterna via en Telegram-bot. Dr. Web säger också att skadlig kod försöker ta bort ESET, McAfee och Malwarebytes, bryta deras anslutningar till uppdateringsservrar och störa säkerhetskopior i Windows.

Forskarna hittade en till synes ofärdig komponent som kan hjälpa laddaren att fortsätta köras och hämta sig själv igen om den tas bort från disken. De säger att fyndet tyder på att hotaktören arbetar med nya funktioner. Dr. Web delade indikatorer på intrång från kampanjen.