Forscher des Cybersicherheitsunternehmens Dr. Web haben eine Malware-Kampagne aufgedeckt, die Cybersicherheitsexperten über manipulierte Software-Repositories auf der Plattform GitHub ins Visier nimmt. Diese Kampagne verbreitet Softwareprojekte, die wie nützliche Sicherheitstools aussehen, wie etwa Tools zur Scan-Automatisierung, Penetrationstests und Protokollanalyse, die jedoch in Wirklichkeit Backdoors und Programme zum Diebstahl von Informationen installieren.
Entwicklung der Zielgruppenansprache und Verschleierungsmethoden
Diese Kampagne begann vor etwa zwei Jahren und konzentrierte sich zunächst auf Nutzer von Kryptowährungs-Wallets, doch die Angreifer haben ihre Strategie kürzlich geändert, um technische Fachkräfte ins Visier zu nehmen. Bisher wurden Infektionen auf mehr als 2.000 Windows-Systemen festgestellt.
Die Kampagne nutzt traditionelle, aber effektive Verschleierungsmethoden, bei denen der bösartige Code in Visual Studio-Projektdateien, Python-Skripte und Go-Quelldateien eingebettet wird. Der Code wird hinter langen Leerzeichen (Whitespace) versteckt, um eine Entdeckung zu vermeiden. In einigen Visual Studio-Projekten wird die Routine für das "Pre-build event" ausgenutzt, um den bösartigen Code automatisch vor dem Kompilierungsprozess auszuführen.
Infektionskette und fortschrittliche Umgehungstechniken
Der Infektionsprozess beginnt mit der Verwendung von PowerShell, um einen verschlüsselten Download-Link abzurufen, der wiederum einen auf dem Electron-Framework basierenden Loader mit dem irreführenden Namen 'Microsoft.exe' herunterlädt. Dieser Loader etabliert sich im System, erhöht seine Berechtigungen, deaktiviert Sicherheits- und Wiederherstellungsfunktionen von Windows und injiziert die Malware anschließend in legitime Systemprozesse.
Die Forscher erklärten, dass der Loader zwei Betriebsmodi verwendet, um Abwehrmechanismen zu umgehen:
- Modus 3 (Mode 3): Dies ist der Standardmodus und nutzt sechs fortschrittliche Verschleierungstechniken, darunter das Vortäuschen, dass der explorer.exe-Prozess der übergeordnete Prozess der bösartigen Datei ist, die Deaktivierung der Smart App Control sowie die Manipulation des Arbeitsspeichers, um die Skriptprüfung (AMSI) und die Ereignisverfolgung (ETW) zu deaktivieren.
- Modus 2 (Mode 2): Dieser wird verwendet, wenn der erste Modus fehlschlägt, und basiert auf dem Hinzufügen von Ausnahmen für Microsoft Defender sowie der Verwendung eines PowerShell-Skripts, um die Nutzlast in den RegAsm.exe-Prozess zu injizieren.
Endziele: Datendiebstahl und vollständige Kontrolle
Sobald die Injektion erfolgreich war, werden endgültige Nutzlasten gesendet, darunter:
- AsyncRAT: Eine Backdoor, die den Angreifern die vollständige Kontrolle über das Gerät gibt.
- Clipper Malware: Eine Software, die Adressen von Kryptowährungs-Wallets in der Zwischenablage (Clipboard) durch Adressen ersetzt, die dem Angreifer gehören.
- Infostealer: Ein Programm zum Datendiebstahl, das Informationen aus Browsern, VPN-Einstellungen, FTP-Client-Konfigurationsdateien, Spielekontodaten und Discord-Token sammelt und diese dann über einen Telegram-Bot versendet.
Darüber hinaus versucht die Malware, bekannte Schutzprogramme wie ESET, McAfee und Malwarebytes zu entfernen und Windows-Sicherungsprozesse zu deaktivieren.
Was ist für Fachleute wichtig?
Diese Entwicklung stellt eine gefährliche Veränderung im Verhalten der Angreifer dar; anstatt normale Benutzer ins Visier zu nehmen, zielen die Angreifer nun auf die "Arbeitswerkzeuge" ab, auf die sich Sicherheitsexperten selbst verlassen. Die Nutzung technisch vertrauenswürdiger GitHub-Repositories als Deckmantel bedeutet, dass das Vertrauen in Open-Source-Tools weiterhin an eine sorgfältige Prüfung geknüpft sein muss, insbesondere beim Umgang mit Projekten, die Build-Dateien oder Automatisierungsskripte unbekannter Herkunft enthalten.