Dr.Web、GitHub上の偽セキュリティツールで2,000台超が感染と報告

セキュリティ企業のDr.Webは11月5日、GitHub上に公開された悪意ある開発プロジェクトを通じて配布されるマルウェアの技術分析レポートを公表した。dailysecu.comが伝えた。レポートによると、一連のキャンペーンで2,000台を超えるWindows PCが感染している。

攻撃者は、ネットワークスキャンの自動化、セキュリティシステムのテスト、ログ分析ユーティリティなど、セキュリティツールを装ってマルウェアを配布していた。ネットワークスキャナーFscanの出力を整形・可視化するツールを名乗る偽リポジトリも確認された。

悪意あるコードはVisual Studioのプロジェクトファイル（.csprojと.suo）やPython、Goのソースコードに隠されていた。一部のプロジェクトはPreBuildEvent機能を悪用し、コンパイル前に悪意あるコマンドを実行させる。PythonとGoのソースでは、長い空白行の後にコードを隠してレビューを回避していた。攻撃者はVisual Studioのインストールとリポジトリのクローン手順まで示し、ユーザーに実行させていた。

PowerShellスクリプトはアーカイブをダウンロードし、Trojan.Loader.3261に分類されるMicrosoft.exeをインストールする。このローダーはElectronベースで、分析時点の最新バージョンは1.4.5だった。Windows Defender、UAC、システムの復元、ボリュームシャドウコピーサービスを無効化するほか、親プロセスの偽装、アンフッキング、ETWとAMSIの無効化といった回避手法を用いる。異なるネットワークポートを使う2つのAsyncRATバックドアが導入され、2人の攻撃者が同じ端末を操作できるようにしているとされる。

あわせて、コピーした暗号資産ウォレットアドレスを攻撃者の指定アドレスに置き換えるTrojan.Clipper.688や、ブラウザーのデータ、VPN設定、FileZilla・MobaXterm・Total CommanderのFTP認証情報、Discordのトークン、メッセンジャーのファイル、ゲームアカウント情報を収集するJS.Stealer.191も確認された。窃取データは圧縮され、Telegramボット経由で送信される。

マルウェアはESET、McAfee、Malwarebytesなどセキュリティ製品の削除を試み、セキュリティ企業のサーバーへのアクセスを遮断する。Dr.Webによると、感染台数は最近見つかった偽セキュリティツール経由だけでなく、キャンペーン全体で2,000台を超える。感染PCの国別分布や韓国での被害の有無は公表されていない。報告前の約2年間、攻撃者はブロックチェーンゲームやゲームの自動化ボット、チートプログラムを通じてGitHubを悪用しており、その後、ネットワーク分析やペネトレーションテストのツールを装ってセキュリティ専門家にも標的を広げていた。