サイバーセキュリティ企業Dr. Webの研究者は、GitHubプラットフォーム上の悪意あるリポジトリ（Repositories）を通じてサイバーセキュリティ専門家を標的としたマルウェアキャンペーンを明らかにしました。このキャンペーンは、スキャン自動化ツール、ペネトレーションテストツール、ログ分析ツールなど、有用なセキュリティツールを装ったソフトウェアプロジェクトを公開し、実際にはバックドアや情報窃取マルウェアをインストールさせるものです。
標的の進化と隠蔽メカニズム
このキャンペーンは約2年前に開始されました。当初は暗号資産ウォレットのユーザーを標的としていましたが、攻撃者は最近、技術専門家を標的とするように戦略を変更しました。これまでにWindowsシステムで2,000台以上の感染が確認されています。
このキャンペーンは、従来型でありながら効果的な隠蔽手法を使用しています。悪意のあるコードは、Visual Studioプロジェクトファイル、Pythonスクリプト、Goソースファイル内に組み込まれています。コードは長い空白文字（Whitespace）の背後に隠されており、検出を回避します。一部のVisual Studioプロジェクトでは、「ビルド前イベント（Pre-build event）」ルーチンを悪用し、プログラムのコンパイル前に自動的に悪意のあるコードを実行させます。
感染チェーンと高度な回避技術
感染プロセスは、PowerShellを使用して暗号化されたダウンロードリンクを取得することから始まります。このリンクが、Electronフレームワークに基づき、'Microsoft.exe'という誤解を招く名前を持つローダー（Loader）をダウンロードします。このローダーはシステム内での永続化、権限昇格、Windowsのセキュリティおよび復旧機能の無効化を行い、その後、正規のシステムプロセスにマルウェアを注入します。
研究者によると、ローダーは防御を回避するために2つの実行モードを使用します。
- モード3（Mode 3）：デフォルトのモードであり、6つの高度な隠蔽技術を使用します。これには、explorer.exeプロセスを悪意のあるファイルの親プロセスのように見せかけること、Smart App Controlの無効化、さらにメモリを改ざんしてスクリプトスキャン（AMSI）やイベント追跡（ETW）を無効化することが含まれます。
- モード2（Mode 2）：最初のモードが失敗した場合に使用されます。Microsoft Defenderへの除外設定の追加や、PowerShellスクリプトを使用してRegAsm.exeプロセスにペイロードを注入する手法に依存します。
最終的な目的：データ窃取と完全な制御
注入が成功すると、以下の最終的なペイロードが送信されます。
- AsyncRAT：攻撃者にデバイスの完全な制御権を与えるバックドア。
- Clipper Malware：クリップボード内の暗号資産ウォレットアドレスを、攻撃者が所有するアドレスに置き換えるマルウェア。
- Infostealer：ブラウザ情報、VPN設定、FTPクライアントの設定ファイル、ゲームアカウントデータ、Discordトークンを収集し、Telegramボットを通じて送信するデータ窃取プログラム。
さらに、このマルウェアはESET、McAfee、Malwarebytesなどの有名なセキュリティソフトを削除し、Windowsのバックアッププロセスを無効化しようとします。
専門家にとっての重要性
この展開は、攻撃者の行動における危険な変化を示しています。一般ユーザーを標的にする代わりに、セキュリティ専門家自身が依存する「作業ツール」を標的にしています。技術的に信頼されているGitHubリポジトリが隠れ蓑として使用されていることは、オープンソースツールに対する信頼は、特にビルドファイルや出所不明の自動化スクリプトを含むプロジェクトを扱う場合、厳格な検査を前提としなければならないことを意味しています。