Siber güvenlik şirketi Dr. Web araştırmacıları, GitHub platformundaki virüslü yazılım depoları (Repositories) aracılığıyla siber güvenlik uzmanlarını hedef alan bir kötü amaçlı yazılım kampanyasını ortaya çıkardı. Bu kampanya, tarama otomasyonu, sızma testi ve günlük analizi gibi yararlı güvenlik araçları gibi görünen yazılım projelerini yaymaya dayanıyor, ancak gerçekte arka kapılar (Backdoors) ve bilgi hırsızlığı yazılımları yüklüyor.
Kurbanları hedefleme gelişimi ve gizlenme mekanizması
Bu kampanya yaklaşık iki yıl önce başladı ve başlangıçta kripto para cüzdanı kullanıcılarına odaklanıyordu, ancak saldırganlar kısa süre önce stratejilerini teknik profesyonelleri hedef alacak şekilde değiştirdiler. Şu ana kadar 2.000'den fazla Windows tabanlı sistemin etkilendiği tespit edildi.
Kampanya, geleneksel ancak etkili gizlenme yöntemleri kullanıyor; kötü amaçlı kod, Visual Studio proje dosyalarına, Python betiklerine ve Go kaynak dosyalarına entegre ediliyor. Kod, tespitten kaçınmak için uzun boşluklar (Whitespace) arkasına gizleniyor. Bazı Visual Studio projelerinde, yazılım derleme (Compilation) işleminden önce kötü amaçlı kodu otomatik olarak çalıştırmak için "derleme öncesi olay" (Pre-build event) rutini kullanılıyor.
Enfeksiyon zinciri ve gelişmiş atlatma teknikleri
Enfeksiyon süreci, şifreli bir indirme bağlantısını getirmek için PowerShell kullanılmasıyla başlıyor; bu bağlantı daha sonra Electron çerçevesine dayanan ve yanıltıcı bir şekilde 'Microsoft.exe' adını taşıyan bir yükleyici (Loader) indiriyor. Bu yükleyici, sistemde kalıcılık sağlıyor, ayrıcalıklarını yükseltiyor, Windows güvenlik ve kurtarma özelliklerini devre dışı bırakıyor ve ardından kötü amaçlı yazılımı meşru sistem süreçlerine enjekte ediyor.
Araştırmacılar, yükleyicinin savunmaları aşmak için iki çalışma modu kullandığını açıkladı:
- Mod 3: Varsayılan moddur ve gizlenme için altı gelişmiş teknik kullanır; bunlar arasında explorer.exe sürecini kötü amaçlı dosyanın ana süreci gibi göstermek, Smart App Control özelliğini devre dışı bırakmak ve betik taramasını (AMSI) ve olay izlemeyi (ETW) devre dışı bırakmak için belleği değiştirmek yer alır.
- Mod 2: İlk modun başarısız olması durumunda kullanılır ve Microsoft Defender için istisnalar eklemeye ve yükü RegAsm.exe sürecine enjekte etmek için bir PowerShell betiği kullanmaya dayanır.
Nihai hedefler: Veri hırsızlığı ve tam kontrol
Enjeksiyon işlemi başarılı olduğunda, şunları içeren nihai yükler gönderilir:
- AsyncRAT: Saldırganlara cihaz üzerinde tam kontrol sağlayan bir arka kapı.
- Clipper Malware: Panodaki (Clipboard) kripto para cüzdan adreslerini saldırganın sahip olduğu adreslerle değiştiren bir yazılım.
- Infostealer: Tarayıcı bilgilerini, VPN ayarlarını, FTP istemci yapılandırma dosyalarını, oyun hesabı verilerini ve Discord jetonlarını toplayan ve bunları bir Telegram botu aracılığıyla gönderen bir veri hırsızlığı yazılımı.
Ayrıca yazılım, ESET, McAfee ve Malwarebytes gibi popüler güvenlik programlarını kaldırmaya ve Windows yedekleme işlemlerini devre dışı bırakmaya çalışır.
Uzmanlar için ne ifade ediyor?
Bu gelişme, saldırganların davranışlarında tehlikeli bir değişimi temsil ediyor; saldırganlar sıradan kullanıcıları hedeflemek yerine, güvenlik uzmanlarının kendilerinin güvendiği "iş araçlarını" hedef alıyor. Teknik olarak güvenilir GitHub depolarının bir kılıf olarak kullanılması, açık kaynaklı araçlara duyulan güvenin, özellikle bilinmeyen kaynaklardan gelen derleme dosyaları (Build files) veya otomasyon betikleri içeren projelerle uğraşırken dikkatli bir incelemeye tabi tutulması gerektiği anlamına geliyor.