На GitHub обнаружили поддельные инструменты защиты с бэкдором

Репозитории предлагают инструменты для автоматизации сканирования, проверки систем защиты и анализа журналов, но при запуске могут установить бэкдор, похититель данных и программу для подмены адресов криптокошельков. На момент исследования, по данным Doctor Web, были заражены более 2000 компьютеров.

Заражённые файлы встречаются в проектах Microsoft Visual Studio, а также среди исходного кода на Python и Go. В файле проекта.csproj вредоносная команда может выполняться ещё до компиляции. В файлах.suo исследователи нашли команды PowerShell, а в исходниках на Python и Go код скрывали после множества пробелов. Просмотр начала файла не обязательно покажет опасную часть.

Один из обнаруженных репозиториев выдавал себя за скрипт для обработки результатов сканера Fscan. После загрузки заражённых файлов на компьютере запускается PowerShell-сценарий. Он получает зашифрованную строку и извлекает из неё ссылку на архив Quixo.7z. Архив загружается с серверов злоумышленников или GitHub и содержит приложение Microsoft.exe, собранное на Electron.

Microsoft.exe загружает следующий архив с вредоносными компонентами, собирает сведения о системе и передаёт их злоумышленникам через бота в Telegram. Программа закрепляется в системе, пытается повысить привилегии и внедряет код в работающие процессы. Она может отключать Windows Defender, контроль учётных записей, уведомления, восстановление системы и теневое копирование. Загрузчик также добавляет исключения в настройки антивируса.

Как менялись заражённые репозитории GitHub

Первые репозитории этой кампании появились около двух лет назад. Тогда злоумышленники ориентировались на пользователей криптокошельков: размещали проекты Visual Studio, связанные с блокчейн-играми, игровыми ботами и читами. В некоторых репозиториях были инструкции по установке Visual Studio и копированию проекта для тех, кто не привык работать с такими инструментами.

Позднее приманками стали проекты для специалистов по безопасности. В заражённых репозиториях встречаются разные способы запуска вредоносного кода: от команды перед сборкой проекта до фрагментов, спрятанных в файлах Python и Go. Код может запуститься во время работы с проектом, который выглядит как обычный инструмент для профессиональной задачи.

У загрузчика есть несколько режимов установки вредоносных компонентов. Один из них подменяет сведения о родительском процессе, обходит Smart App Control и вмешивается в механизмы Windows, которыми пользуются средства защиты. Если запустить компоненты таким способом не удаётся, другой режим добавляет процессы в исключения Windows Defender и использует PowerShell для расшифровки и внедрения кода. Исследователи описали и менее гибкие варианты установки.

После установки бэкдор BackDoor.AsyncRAT.115 даёт злоумышленникам доступ к заражённому компьютеру. Другая программа подменяет адреса криптокошельков в буфере обмена и отправляет скриншоты через Telegram. Похититель JS.Stealer.191 собирает данные браузеров, настройки VPN, файлы FTP-клиентов, сведения об игровых аккаунтах и токены Discord. Перед отправкой злоумышленникам он упаковывает собранные данные в архив.

Вредоносная программа также пытается удалить с устройства антивирусы ESET, McAfee и Malwarebytes. Она меняет файл hosts, чтобы заблокировать доступ к некоторым доменам производителей защитного ПО, и удаляет часть файлов из системного каталога, затрагивая возможность пользоваться резервными копиями. Doctor Web рекомендует регулярно обновлять антивирусные базы и проверять файлы, загруженные из интернета.