Profissionais de cibersegurança estão sendo alvo de projetos maliciosos no GitHub que instalam um backdoor e malware de roubo de informações.
A campanha começou há cerca de dois anos e, inicialmente, tinha como alvo usuários de carteiras de criptomoedas. Recentemente, porém, o threat actor mudou o foco e passou a publicar repositórios maliciosos voltados à automação de varreduras, a testes de segurança e à análise de logs.
Pesquisadores da empresa de cibersegurança Dr. Web identificaram mais de 2.000 sistemas Windows comprometidos até o momento.
Um dos repositórios maliciosos encontrados disfarça um script que se apresenta como uma solução leve para analisar, limpar e formatar resultados do scanner de rede Fscan. As iscas anteriores incluíam jogos de blockchain, bots e ferramentas de trapaça, geralmente voltados a entusiastas de blockchain e jogos.
A investigação da Dr. Web encontrou código malicioso oculto em arquivos de projetos do Visual Studio, scripts Python e arquivos de código Go. O código fica escondido sob longas sequências de espaços em branco, uma técnica antiga que ainda se mostra eficaz. Em alguns projetos do Visual Studio, uma rotina de evento de pré-compilação executa o código antes da compilação, segundo os pesquisadores.
A cadeia de infecção usa o PowerShell para obter um link de download criptografado. Esse link baixa um loader modular baseado em Electron chamado “Microsoft.exe”.
O loader mantém a persistência no sistema infectado, eleva os próprios privilégios, desativa recursos de segurança e recuperação do Windows e injeta o malware da etapa seguinte em processos legítimos.
A Dr. Web descreve seis técnicas de evasão usadas no modo Mode3 do loader, que é o padrão de operação:
- Faz o processo explorer.exe parecer o processo pai do malware.
- Altera um valor do Registro do Windows para desativar o Smart App Control.
- Restaura do disco o código original de ntdll.dll, removendo ganchos instalados por programas de segurança.
- Faz chamadas diretas ao sistema Windows, mais difíceis de interceptar por ferramentas de segurança.
- Modifica EtwEventWrite na memória para suprimir o rastreamento de eventos no processo afetado.
- Modifica AmsiScanBuffer na memória para interferir na análise de scripts pelo antivírus.
Se o Mode3 não for iniciado, o loader recorre ao Mode2, que adiciona exclusões ao Microsoft Defender e usa um script do PowerShell para descriptografar e injetar os payloads em “RegAsm.exe”.
Os payloads finais instalados no sistema incluem o backdoor AsyncRAT, um malware que substitui endereços de carteiras de criptomoedas na área de transferência e um infostealer.
O infostealer coleta dados de navegadores, configurações de VPN, arquivos de configuração de clientes FTP, dados de contas de jogos e tokens do Discord. As informações são enviadas por meio de um bot do Telegram.
Segundo a Dr. Web, o malware também tenta remover do computador ferramentas antivírus da ESET, McAfee e Malwarebytes, desconectá-las de seus servidores de atualização e interferir nos backups do Windows.
Os pesquisadores também encontraram um componente aparentemente inacabado que poderia manter o loader em execução e baixá-lo novamente caso fosse removido do disco do sistema infectado.
A descoberta indica que o threat actor está trabalhando para aprimorar o malware com novos recursos. Os pesquisadores divulgaram uma lista completa dos indicadores de comprometimento observados na campanha.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...