Dr.Web：GitHub恶意项目感染逾2000台Windows电脑
Dr.Web于11月5日发布技术分析报告，称攻击者将恶意代码伪装成网络安全工具，在GitHub上传播。
俄罗斯安全公司Dr.Web于11月5日发布技术分析报告，披露攻击者利用托管在GitHub上的恶意开发项目传播恶意软件，整个攻击行动已感染超过2000台Windows电脑。据dailysecu.com报道，Dr.Web表示这一数字涵盖整个攻击活动，并非仅限近期发现的假冒安全工具。
报告指出，攻击者将恶意程序伪装成网络安全工具，包括网络扫描自动化、安全系统测试和日志分析等实用工具。其中发现的一个虚假代码库自称可以格式化和可视化网络扫描器Fscan的输出结果。
恶意代码被隐藏在Visual Studio项目文件（.csproj和.suo）以及Python和Go源代码中。部分项目滥用PreBuildEvent功能，使恶意命令在程序编译之前执行；在Python和Go源代码中，恶意代码则被藏在长串空白字符之后，以躲避代码审查。攻击者还提供安装Visual Studio并克隆代码库的操作说明，诱导用户运行这些恶意项目。
据分析，一个PowerShell脚本会下载压缩包并安装名为Microsoft.exe的恶意程序，该程序被归类为Trojan.Loader.3261。这是一个基于Electron的加载器，分析时最新版本为1.4.5。该恶意软件会关闭微软保卫者、UAC、系统还原和卷影复制服务，并通过父进程伪装、unhooking以及禁用ETW和AMSI等方式规避检测。
攻击行动还安装了两个使用不同网络端口的AsyncRAT后门，据称是为了让两名攻击者控制同一台受感染设备。此外，Trojan.Clipper.688会把用户复制的加密货币钱包地址替换为攻击者指定的地址；JS.Stealer.191则收集浏览器数据、FileZilla、MobaXterm和Total Commander中的VPN设置与FTP凭据，以及Discord令牌、通讯软件文件和游戏账号信息。窃取的数据经压缩后通过Telegram机器人发送给攻击者。
该恶意软件还试图卸载ESET、McAfee和惡意軟體字節公司等安全产品，并阻止访问安全厂商的服务器。Dr.Web未公布受感染电脑的国家分布，也未说明韩国是否出现损失。
快速问答
这次攻击感染了多少台电脑？
Dr.Web表示整个攻击行动已感染超过2000台Windows电脑。
恶意软件是如何传播的？
攻击者将恶意代码藏在GitHub上假冒安全工具的开发项目中，包括Visual Studio项目文件和Python、Go源代码。
恶意软件会做什么？
它会关闭微软保卫者等安全功能、安装AsyncRAT后门、替换加密货币钱包地址，并窃取浏览器和FTP凭据等数据。