Investigadores de la empresa de ciberseguridad Dr. Web han revelado una campaña de software malicioso que apunta a profesionales de la ciberseguridad a través de repositorios de software infectados en la plataforma GitHub. Esta campaña se basa en la publicación de proyectos de software que parecen herramientas de seguridad útiles, como herramientas de automatización de escaneo, pruebas de penetración y análisis de registros, pero que en realidad instalan puertas traseras (Backdoors) y software para el robo de información.
Evolución de la selección de víctimas y mecanismo de ocultación
Esta campaña comenzó hace unos dos años, centrándose inicialmente en usuarios de billeteras de criptomonedas; sin embargo, los atacantes cambiaron recientemente su estrategia para dirigirse a profesionales técnicos. Hasta la fecha, se ha detectado la infección de más de 2,000 sistemas que ejecutan Windows.
La campaña utiliza métodos de ocultación tradicionales pero efectivos, donde el código malicioso se integra dentro de archivos de proyectos de Visual Studio, scripts de Python y archivos fuente de Go. El código se oculta detrás de espacios en blanco largos (Whitespace) para evitar su detección. En algunos proyectos de Visual Studio, se explota la rutina de "evento previo a la compilación" (Pre-build event) para ejecutar el código malicioso automáticamente antes del proceso de compilación del programa.
Cadena de infección y técnicas avanzadas de evasión
El proceso de infección comienza utilizando PowerShell para obtener un enlace de descarga cifrado, el cual a su vez descarga un cargador (Loader) basado en el framework Electron y que lleva el nombre engañoso de 'Microsoft.exe'. Este cargador trabaja para establecer su presencia en el sistema, elevar sus privilegios, deshabilitar las funciones de seguridad y recuperación de Windows, y luego inyectar el software malicioso en procesos legítimos del sistema.
Los investigadores explicaron que el cargador utiliza dos modos de ejecución para evadir las defensas:
- Modo 3 (Mode 3): Es el modo predeterminado y utiliza seis técnicas avanzadas de ocultación, entre ellas hacer que el proceso explorer.exe parezca el proceso padre del archivo malicioso, deshabilitar la función Smart App Control, además de modificar la memoria para deshabilitar el escaneo de scripts (AMSI) y el seguimiento de eventos (ETW).
- Modo 2 (Mode 2): Se utiliza en caso de que el primer modo falle, y se basa en añadir exclusiones para el programa Microsoft Defender y utilizar un script de PowerShell para inyectar la carga útil en el proceso RegAsm.exe.
Objetivos finales: robo de datos y control total
Una vez que la inyección tiene éxito, se envían cargas útiles finales que incluyen:
- AsyncRAT: Una puerta trasera que otorga a los atacantes control total sobre el dispositivo.
- Clipper Malware: Software que reemplaza las direcciones de billeteras de criptomonedas en el portapapeles (Clipboard) con direcciones propiedad del atacante.
- Infostealer: Un programa de robo de datos que recopila información de navegadores, configuraciones de VPN, archivos de configuración de clientes FTP, datos de cuentas de juegos y tokens de Discord, para luego enviarlos a través de un bot de Telegram.
Además, el software intenta eliminar programas de protección conocidos como ESET, McAfee y Malwarebytes, y deshabilitar los procesos de copia de seguridad en Windows.
¿Qué es lo que importa a los profesionales?
Este desarrollo representa un cambio peligroso en el comportamiento de los atacantes; en lugar de apuntar al usuario promedio, los atacantes ahora apuntan a las "herramientas de trabajo" de las que dependen los propios expertos en seguridad. El uso de repositorios de GitHub técnicamente confiables como cobertura significa que la confianza en las herramientas de código abierto debe seguir estando condicionada a una inspección minuciosa, especialmente al tratar con proyectos que contienen archivos de compilación (Build files) o scripts de automatización de origen desconocido.