Sahte GitHub Güvenlik Araçları Arka Kapı ve Bilgi Hırsızı Bulaştırıyor

Dr. Web araştırmacılarına göre, siber güvenlik uzmanları güvenlik araçları gibi görünen kötü amaçlı GitHub depolarıyla hedef alınıyor. Yaklaşık iki yıl önce başlayan kampanya önce kripto cüzdanı kullanıcılarını hedef aldı; daha sonra otomatik tarama, güvenlik testi ve günlük analizi projelerine yöneldi.

Dr. Web, 2.000'den fazla Windows sisteminin ele geçirildiğini bildirdi. Depolardan biri, Fscan ağ tarayıcısının çıktısını ayrıştırmak, temizlemek ve biçimlendirmek için hafif bir betik gibi sunuldu. Araştırmacılar, Visual Studio proje dosyalarında, Python betiklerinde ve Go kaynak dosyalarında gizlenmiş kötü amaçlı kod buldu. Bazı Visual Studio projelerinde kod, derlemeden önce çalışan bir ön derleme yordamıyla başlatıldı.

Bulaşma zinciri, PowerShell kullanarak şifrelenmiş bir indirme bağlantısı alıyor; bu bağlantı “Microsoft.exe” adlı modüler, Electron tabanlı bir yükleyiciyi indiriyor. Yükleyici sistemde kalıcılık sağlıyor, ayrıcalıklarını yükseltiyor, Windows güvenlik ve kurtarma özelliklerini devre dışı bırakıyor ve ardından kötü amaçlı yazılımı meşru süreçlere enjekte ediyor. Dr. Web, yükleyicinin varsayılan çalışma modu Mode3'te altı kaçınma tekniği tanımlıyor. Bu mod başlatılamazsa Mode2, Microsoft Defender'a özel durumlar ekliyor ve PowerShell betiğiyle yükleri çözerek “RegAsm.exe” sürecine enjekte ediyor.

Son aşamada AsyncRAT arka kapısı, panodaki kripto cüzdanı adreslerini değiştiren bir kırpıcı ve bir bilgi hırsızı bulaşıyor. Bilgi hırsızı tarayıcı verilerini, VPN ayarlarını, FTP istemcisi yapılandırma dosyalarını, oyun hesabı verilerini ve Discord belirteçlerini topluyor; ardından bunları bir Telegram botu üzerinden gönderiyor. Dr. Web'e göre kötü amaçlı yazılım ayrıca ESET, McAfee ve Malwarebytes araçlarını kaldırmaya, güncelleme sunucularıyla bağlantılarını kesmeye ve Windows yedeklerini engellemeye çalışıyor.

Araştırmacılar, yükleyicinin çalışmasını sürdürmesine ve diskten silinirse yeniden indirilmesine yardımcı olabilecek, tamamlanmamış görünen bir bileşen de buldu. Bunun, tehdit aktörünün yeni özellikler eklemek için çalıştığına işaret ettiğini söylüyorlar. Dr. Web kampanyaya ait güvenlik ihlali göstergelerini paylaştı.