Des chercheurs de la société de cybersécurité Dr. Web ont révélé une campagne de logiciels malveillants ciblant les professionnels de la cybersécurité via des dépôts logiciels (Repositories) piégés sur la plateforme GitHub. Cette campagne repose sur la publication de projets logiciels qui semblent être des outils de sécurité utiles, tels que des outils d'automatisation de scan, de test d'intrusion et d'analyse de journaux, mais qui, en réalité, installent des portes dérobées (Backdoors) et des logiciels de vol d'informations.
Évolution du ciblage des victimes et mécanisme de dissimulation
Cette campagne a débuté il y a environ deux ans, se concentrant initialement sur les utilisateurs de portefeuilles de cryptomonnaies, mais les attaquants ont récemment modifié leur stratégie pour cibler les professionnels techniques. Plus de 2 000 systèmes fonctionnant sous Windows ont été identifiés comme infectés à ce jour.
La campagne utilise des méthodes de dissimulation traditionnelles mais efficaces, où le code malveillant est intégré dans des fichiers de projets Visual Studio, des scripts Python et des fichiers sources Go. Le code est masqué derrière de longs espaces blancs (Whitespace) pour éviter sa détection. Dans certains projets Visual Studio, la routine d'événement "pré-construction" (Pre-build event) est exploitée pour exécuter automatiquement le code malveillant avant le processus de compilation du programme.
Chaîne d'infection et techniques avancées de contournement
Le processus d'infection commence par l'utilisation de PowerShell pour récupérer un lien de téléchargement chiffré, qui télécharge à son tour un chargeur (Loader) basé sur le framework Electron et portant le nom trompeur de 'Microsoft.exe'. Ce chargeur travaille à établir sa présence dans le système, à élever ses privilèges, à désactiver les fonctionnalités de sécurité et de récupération de Windows, puis à injecter des logiciels malveillants dans des processus système légitimes.
Les chercheurs ont expliqué que le chargeur utilise deux modes d'exécution pour contourner les défenses :
- Mode 3 : Il s'agit du mode par défaut, utilisant six techniques avancées de dissimulation, notamment faire passer le processus explorer.exe pour le processus parent du fichier malveillant, désactiver la fonctionnalité Smart App Control, ainsi que modifier la mémoire pour désactiver l'analyse des scripts (AMSI) et le suivi des événements (ETW).
- Mode 2 : Utilisé en cas d'échec du premier mode, il repose sur l'ajout d'exclusions pour le programme Microsoft Defender et l'utilisation d'un script PowerShell pour injecter la charge utile dans le processus RegAsm.exe.
Objectifs finaux : vol de données et contrôle total
Une fois l'injection réussie, des charges utiles finales sont envoyées, incluant :
- AsyncRAT : Une porte dérobée qui donne aux attaquants un contrôle total sur l'appareil.
- Clipper Malware : Un logiciel qui remplace les adresses de portefeuilles de cryptomonnaies dans le presse-papiers (Clipboard) par des adresses appartenant à l'attaquant.
- Infostealer : Un logiciel de vol de données qui collecte des informations sur les navigateurs, les paramètres VPN, les fichiers de configuration des clients FTP, les données de comptes de jeux et les jetons Discord, puis les envoie via un bot Telegram.
De plus, le logiciel tente de supprimer des logiciels de protection populaires tels que ESET, McAfee et Malwarebytes, et de désactiver les processus de sauvegarde de Windows.
Ce qui importe pour les professionnels ?
Cette évolution représente un changement dangereux dans le comportement des attaquants ; au lieu de cibler l'utilisateur moyen, les attaquants ciblent désormais les "outils de travail" sur lesquels les experts en sécurité eux-mêmes s'appuient. L'utilisation de dépôts GitHub techniquement fiables comme couverture signifie que la confiance dans les outils open source doit rester conditionnée à une vérification minutieuse, surtout lors de la manipulation de projets contenant des fichiers de construction (Build files) ou des scripts d'automatisation dont la source est inconnue.