Malafide beveiligingsprojecten op GitHub richten zich op Windows-systemen met backdoors en infostealers, gericht op cybersecurity professionals.
Cybersecurity professionals worden doelwit van besmette beveiligingsprojecten op GitHub die backdoors en infostealer malware verspreiden. De campagne, die ongeveer twee jaar geleden begon, richtte zich aanvankelijk op gebruikers van cryptowallets, maar de dreigingsactor publiceert recentelijk kwaadaardige repositories voor het automatiseren van scans, security tests en loganalyse.
Onderzoekers van het cybersecuritybedrijf Dr. Web ontdekten dat inmiddels meer dan 2.000 Windows-systemen zijn geïnfecteerd. Een voorbeeld van een malafide repository is een nep script dat wordt gepresenteerd als een lichtgewicht oplossing voor het parseren, opschonen en formatteren van output van de Fscan netwerkscanner. Eerdere lokmiddelen waren blockchain games, bots en cheattools, die vooral blockchain- en game-enthousiastelingen targetten. De kwaadaardige code is verstopt in Visual Studio-projectbestanden, Python-scripts en Go-bronbestanden, vaak verborgen achter lange witruimtes, een oude maar effectieve techniek. In sommige Visual Studio-projecten wordt de code uitgevoerd via een pre-build event voordat de compilatie start, aldus de onderzoekers.
De infectieketen maakt gebruik van PowerShell om een versleutelde downloadlink op te halen die een modulaire Electron-gebaseerde loader met de naam ‘Microsoft.exe’ binnenhaalt. Deze loader zorgt voor persistente aanwezigheid op het geïnfecteerde systeem, verhoogt zijn privileges, schakelt Windows beveiligings- en herstelopties uit en injecteert de volgende malwarefase in legitieme processen. Dr. Web beschrijft zes technieken voor detectie-ontwijking die de loader in zijn standaard modus toepast, waaronder het manipuleren van processen, registerwaarden, het herstellen van originele systeemcode en het onderdrukken van beveiligingsmonitoring.
Als de standaardmodus faalt, schakelt de loader over naar een alternatieve modus die Microsoft Defender uitsluitingen toevoegt en PowerShell gebruikt om payloads te ontsleutelen en te injecteren in ‘RegAsm.exe’. De uiteindelijke payloads bestaan uit de AsyncRAT backdoor, clipper malware die cryptoadressen in het klembord vervangt, en een infostealer. Deze infostealer verzamelt browsergegevens, VPN-instellingen, FTP-configuraties, gamingaccounts en Discord-tokens, en exfiltreert deze via een Telegram-bot.
Daarnaast probeert de malware antivirussoftware van ESET, McAfee en Malwarebytes te verwijderen, de verbinding met update-servers te verbreken en Windows-backups te verstoren. Onderzoekers vonden ook een ogenschijnlijk onvoltooide component die de loader opnieuw kan downloaden als deze van het systeem wordt verwijderd, wat wijst op voortdurende ontwikkeling van de malware.
