Pesquisadores da empresa de cibersegurança Dr. Web revelaram uma campanha de malware que visa profissionais de cibersegurança por meio de repositórios de software infectados na plataforma GitHub. Esta campanha baseia-se na publicação de projetos de software que parecem ser ferramentas de segurança úteis, como ferramentas de automação de varredura, testes de intrusão e análise de logs, mas que, na realidade, instalam backdoors e softwares para roubo de informações.
Evolução do alvo das vítimas e mecanismo de ocultação
Esta campanha começou há cerca de dois anos, focando inicialmente em usuários de carteiras de criptomoedas, mas os atacantes mudaram recentemente sua estratégia para visar profissionais técnicos. Até o momento, foi detectada a infecção de mais de 2.000 sistemas operacionais Windows.
A campanha utiliza métodos de ocultação tradicionais, porém eficazes, onde o código malicioso é integrado em arquivos de projetos do Visual Studio, scripts Python e arquivos de código-fonte Go. O código é ocultado atrás de longos espaços em branco (Whitespace) para evitar sua detecção. Em alguns projetos do Visual Studio, é explorada a rotina de "evento pré-compilação" (Pre-build event) para executar o código malicioso automaticamente antes do processo de compilação do software.
Cadeia de infecção e técnicas avançadas de evasão
O processo de infecção começa usando o PowerShell para buscar um link de download criptografado, que por sua vez baixa um carregador (Loader) baseado no framework Electron e que possui um nome enganoso: 'Microsoft.exe'. Este carregador trabalha para estabelecer sua presença no sistema, elevar seus privilégios, desativar recursos de segurança e recuperação do Windows e, em seguida, injetar o malware em processos legítimos do sistema.
Os pesquisadores explicaram que o carregador utiliza dois modos de operação para contornar as defesas:
- Modo 3: É o modo padrão e utiliza seis técnicas avançadas de ocultação, incluindo fazer com que o processo explorer.exe pareça ser o processo pai do arquivo malicioso, desativar o recurso Smart App Control, além de modificar a memória para desativar a verificação de scripts (AMSI) e o rastreamento de eventos (ETW).
- Modo 2: Utilizado caso o primeiro modo falhe, baseia-se na adição de exclusões para o Microsoft Defender e no uso de um script PowerShell para injetar a carga útil no processo RegAsm.exe.
Objetivos finais: roubo de dados e controle total
Assim que a injeção é bem-sucedida, são enviadas cargas úteis finais que incluem:
- AsyncRAT: Um backdoor que concede aos atacantes controle total sobre o dispositivo.
- Clipper Malware: Software que substitui endereços de carteiras de criptomoedas na área de transferência (Clipboard) por endereços pertencentes ao atacante.
- Infostealer: Um programa de roubo de dados que coleta informações de navegadores, configurações de VPN, arquivos de configuração de clientes FTP, dados de contas de jogos e tokens do Discord, enviando-os posteriormente através de um bot do Telegram.
Além disso, o malware tenta remover programas de proteção conhecidos, como ESET, McAfee e Malwarebytes, e desativar os processos de backup do Windows.
O que é importante para os profissionais?
Este desenvolvimento representa uma mudança perigosa no comportamento dos atacantes; em vez de visar o usuário comum, os atacantes estão visando as "ferramentas de trabalho" das quais os próprios especialistas em segurança dependem. O uso de repositórios do GitHub tecnicamente confiáveis como fachada significa que a confiança em ferramentas de código aberto deve permanecer condicionada a uma verificação rigorosa, especialmente ao lidar com projetos que contenham arquivos de compilação (Build files) ou scripts de automação de origem desconhecida.