GitHub'daki sahte güvenlik araçları 2 bin sisteme bulaştı

Siber güvenlik şirketi Dr. Web, GitHub'da tarama, güvenlik testi ve log analizi aracı gibi görünen kötü amaçlı depolarla siber güvenlik uzmanlarını hedef alan bir kampanya tespit etti. 6 Kasım'da kamuoyuna yansıyan bulgulara göre kampanya kapsamında şimdiye kadar 2.000'den fazla Windows sistemi ele geçirildi.

Kampanyanın arkasında kim var?

Tehdit aktörü henüz adlandırılmadı. Araştırmacılara göre aynı aktör yaklaşık iki yıldır faaliyette. Başlangıçta blokzincir oyunları, botlar ve hile araçlarıyla kripto cüzdan kullanıcılarını hedef alıyordu. Son dönemde ise güvenlik ekiplerinin kullandığı araçları taklit etmeye başladı.

Saldırganlar hangi araçları taklit ediyor?

Araştırmacıların bulduğu örneklerden biri, Fscan ağ tarayıcısının çıktısını ayrıştırıp düzenleyen hafif bir betik olarak tanıtılan sahte bir depo. Diğer depolar da tarama otomasyonu, güvenlik testi ve log analizi araçları kılığında yayımlanıyor.

Zararlı kod nasıl gizleniyor?

Kötü amaçlı kod; Visual Studio proje dosyalarına, Python betiklerine ve Go kaynak dosyalarına, uzun boşluk dizilerinin arkasına gizleniyor. Eski ama hâlâ etkili bir yöntem bu: Kod, dosya editörde açıldığında ekranın çok sağında kalıyor.

Bazı Visual Studio projelerinde ise derleme öncesi olay (pre-build event) kullanılıyor. Böylece kullanıcı projeyi derlemeye çalıştığı anda, kod derlemeden önce çalışıyor.

Bulaşan sistemde neler oluyor?

Bulaşma zinciri şu adımlarla ilerliyor:

1. PowerShell, şifrelenmiş bir indirme bağlantısını alıyor.

2. Bu bağlantıdan Electron tabanlı, modüler bir yükleyici (loader) olan Microsoft.exe indiriliyor.

3. Yükleyici sistemde kalıcılık sağlıyor, yetkilerini yükseltiyor ve Windows'un güvenlik ve kurtarma özelliklerini devre dışı bırakıyor.

4. Son aşamada zararlı yazılımlar meşru süreçlerin içine enjekte ediliyor.

Dr. Web'e göre yükleyici varsayılan modunda altı farklı atlatma tekniği kullanıyor. Bunlar arasında Smart App Control'ü kapatmak ve antivirüs taramasını engellemek için bellekte AMSI ile olay izleme (ETW) fonksiyonlarını değiştirmek var.

Hangi zararlılar yükleniyor?

Sisteme üç zararlı yükleniyor:

• AsyncRAT: Saldırgana bilgisayarın uzaktan kontrolünü veren arka kapı

• Clipper: Panoya kopyalanan kripto cüzdan adreslerini saldırganın adresiyle değiştiren zararlı

• Bilgi hırsızı (infostealer): Tarayıcı verilerini, VPN ayarlarını, FTP istemci yapılandırmalarını, oyun hesaplarını ve Discord token'larını topluyor

Toplanan veriler bir Telegram botu üzerinden saldırgana gönderiliyor. Zararlı yazılım ayrıca ESET, McAfee ve Malwarebytes antivirüs araçlarını kaldırmaya, güncelleme sunucularıyla bağlantılarını kesmeye ve Windows yedeklerine müdahale etmeye çalışıyor.

Araştırmacılar, henüz tamamlanmamış görünen ve yükleyici silinirse onu yeniden indirebilecek bir bileşen de buldu. Bu, aktörün zararlıyı geliştirmeye devam ettiğine işaret ediyor.

Kendimi nasıl korurum?

• GitHub'dan indirilen araçları çalıştırmadan önce kaynak kodunu, özellikle de proje yapılandırma dosyalarını inceleyin.

• Visual Studio projelerinde pre-build ve post-build olaylarını derlemeden önce kontrol edin.

• Az yıldızlı, yeni açılmış ya da tanınmayan hesaplara ait araçları izole bir sanal makinede deneyin.

• Dr. Web'in yayımladığı ihlal göstergeleri (IoC) listesini kurum sistemlerinde taratın.

Kaynak: BleepingComputer

Bu içerik yapay zekâ desteğiyle hazırlanmış ve editör tarafından kontrol edilmiştir.