Dr.Web découvre plus de 2 000 PC infectés via de faux outils sur GitHub
Des dépôts imitant des utilitaires de sécurité, dont un faux outil pour le scanner Fscan, ont servi à diffuser un loader Electron et des backdoors AsyncRAT.
Dr.Web a publié le 5 novembre un rapport technique sur une campagne de malwares diffusée via des projets de développement malveillants hébergés sur GitHub. Selon la société de sécurité russe, plus de 2 000 PC sous Windows ont été infectés sur l'ensemble de la campagne, sans que la répartition par pays ni l'existence de dommages en Corée ne soient précisées.
Les attaquants déguisaient leurs programmes en outils de sécurité : automatisation de scans réseau, tests de systèmes de sécurité ou analyse de journaux. Un faux dépôt se présentait notamment comme un outil pour formater et visualiser la sortie du scanner réseau Fscan. Le code malveillant était caché dans des fichiers de projet Visual Studio (.csproj et .suo) ainsi que dans du code source Python et Go.
Certains projets exploitaient la fonction PreBuildEvent pour exécuter des commandes malveillantes avant la compilation. Dans le code Python et Go, le code nuisible était dissimulé derrière de longues séquences d'espaces afin d'échapper à la relecture. Les attaquants fournissaient aussi des instructions pour installer Visual Studio et cloner le dépôt, afin d'amener les utilisateurs à exécuter les projets piégés.
Un loader qui neutralise les protections
Un script PowerShell télécharge une archive qui installe un programme malveillant nommé Microsoft.exe, classé Trojan.Loader.3261. Ce loader basé sur Electron, dont la dernière version au moment de l'analyse était la 1.4.5, désactive Windows Defender, l'UAC, la restauration du système et le service de clichés instantanés (VSS). Il recourt au masquage du processus parent, à l'unhooking et à la désactivation d'ETW et d'AMSI, puis installe deux backdoors AsyncRAT sur des ports différents, selon Dr.Web afin que deux attaquants puissent contrôler la même machine.
La chaîne comprend aussi Trojan.Clipper.688, qui remplace les adresses de portefeuilles de cryptomonnaies copiées par celles de l'attaquant, et JS.Stealer.191, qui collecte les données de navigateurs, les paramètres VPN et les identifiants FTP de FileZilla, MobaXterm et Total Commander, ainsi que les tokens Discord, des fichiers de messagerie et des informations de comptes de jeux. Les données volées sont compressées et envoyées à l'attaquant via un bot Telegram. Le malware tente par ailleurs de supprimer des produits de sécurité, dont ceux d'ESET, McAfee et Malwarebytes, et bloque l'accès aux serveurs des éditeurs.
Dr.Web indique que, pendant environ deux ans avant son rapport, les attaquants utilisaient déjà GitHub pour diffuser des malwares, d'abord via des jeux de blockchain, des bots d'automatisation de jeux et des programmes de triche. Plus récemment, ils ont élargi leurs cibles aux professionnels de la sécurité avec des outils se faisant passer pour des utilitaires d'analyse réseau et de tests d'intrusion.
En bref
Combien de PC ont été infectés selon Dr.Web ?
Dr.Web indique que plus de 2 000 PC sous Windows ont été infectés sur l'ensemble de la campagne.
Comment le malware se propage-t-il ?
Via des projets de développement malveillants hébergés sur GitHub, déguisés en outils de sécurité et cachant du code dans des fichiers de projet Visual Studio ou du code Python et Go.
Quels logiciels de sécurité le malware tente-t-il de désactiver ?
Il désactive Windows Defender et tente de supprimer des produits d'ESET, McAfee et Malwarebytes, tout en bloquant l'accès aux serveurs des éditeurs de sécurité.