گسترش بدافزارهای جاسوسی و درب پشتی از طریق مخازن آلوده در GitHub

Fake security tools on GitHub push backdoors and infostealers

پژوهشگران امنیتی Dr. Web از شناسایی یک کمپین مخرب در GitHub خبر داده‌اند که با هدف قرار دادن متخصصان امنیت، ابزارهای جعلی تحلیل و اسکن شبکه را برای توزیع بدافزار منتشر می‌کند. این حملات تاکنون منجر به آلودگی بیش از ۲۰۰۰ سیستم ویندوزی شده است.

جزئیات فنی و روش‌های نفوذ

این کمپین که از دو سال پیش آغاز شده، در ابتدا کاربران ارزهای دیجیتال را هدف قرار می‌داد اما اکنون به سمت ابزارهای تست امنیت و تحلیل لاگ تغییر مسیر داده است. مهاجمان کدهای مخرب را در فایل‌های پروژه Visual Studio، اسکریپت‌های Python و کدهای منبع Go جاسازی می‌کنند. یکی از تکنیک‌های مورد استفاده، پنهان‌سازی کدها در میان فواصل خالی طولانی (Whitespace) است.

در پروژه‌های Visual Studio، کد مخرب از طریق روتین‌های پیش از کامپایل (Pre-build event) اجرا می‌شود. زنجیره آلودگی با استفاده از PowerShell، یک لودر مبتنی بر Electron با نام Microsoft.exe را دریافت می‌کند که وظیفه ایجاد پایداری، افزایش سطح دسترسی و غیرفعال‌سازی قابلیت‌های امنیتی ویندوز را بر عهده دارد.

تکنیک‌های فرار و قابلیت‌های بدافزار

لودر این بدافزار دارای حالت عملیاتی پیش‌فرض Mode3 است که از شش تکنیک برای دور زدن ابزارهای امنیتی استفاده می‌کند؛ از جمله تغییر در رجیستری برای غیرفعال‌سازی Smart App Control، بازگردانی ntdll.dll برای حذف هوک‌های امنیتی، فراخوانی مستقیم توابع سیستم و وصله کردن توابع EtwEventWrite و AmsiScanBuffer در حافظه برای جلوگیری از ردیابی و اسکن اسکریپت‌ها.

در صورت شکست در حالت اول، لودر از Mode2 استفاده می‌کند که شامل افزودن استثنائات به Microsoft Defender و تزریق کد به RegAsm.exe است. بدافزارهای نهایی شامل درب پشتی AsyncRAT، بدافزار Clipper برای سرقت ارز دیجیتال و یک ابزار جاسوسی (Infostealer) برای سرقت اطلاعات مرورگر، VPN، حساب‌های بازی و توکن‌های Discord است که از طریق ربات تلگرام خارج می‌شوند.

تداخل با ابزارهای امنیتی و چشم‌انداز آینده

این بدافزار تلاش می‌کند ابزارهای امنیتی نظیر ESET، McAfee و Malwarebytes را حذف کرده و ارتباط آن‌ها با سرورهای به‌روزرسانی را قطع کند. همچنین با ایجاد اختلال در سیستم پشتیبان‌گیری ویندوز، مانع از بازیابی اطلاعات می‌شود. پژوهشگران Dr. Web یک مؤلفه نیمه‌کاره را نیز شناسایی کرده‌اند که نشان‌دهنده تلاش مهاجمان برای بهبود مستمر بدافزار و اطمینان از بقای آن در سیستم‌های آلوده است.

نکته‌های کلیدی

• آلودگی بیش از ۲۰۰۰ سیستم ویندوزی در سراسر جهان
• استفاده از مخازن جعلی GitHub برای توزیع ابزارهای تست امنیت
• تزریق بدافزار از طریق فایل‌های پروژه Visual Studio و اسکریپت‌های Python
• سرقت اطلاعات حساس و ارزهای دیجیتال و ارسال به ربات تلگرام
• تلاش برای غیرفعال‌سازی آنتی‌ویروس‌های معتبر و سیستم‌های پشتیبان‌گیری ویندوز

چه باید کرد

• بررسی دقیق مخازن GitHub پیش از استفاده از اسکریپت‌ها یا پروژه‌های ناشناس
• اجتناب از اجرای فایل‌های اجرایی یا اسکریپت‌های مشکوک در محیط‌های عملیاتی
• بررسی لاگ‌های سیستم برای شناسایی فعالیت‌های غیرعادی مرتبط با PowerShell و RegAsm.exe
• اطمینان از فعال بودن و به‌روزرسانی ابزارهای امنیتی و نظارت بر تغییرات غیرمجاز در رجیستری ویندوز