GitHub'da Sahte Güvenlik Araçları Arka Kapı ve Bilgi Çalıyor

Son dönemde, siber güvenlik uzmanları, GitHub üzerinde yayımlanan enfekte güvenlik projeleriyle hedef alınıyor. Bu projeler, arka kapı ve bilgi çalan kötü amaçlı yazılımlar dağıtmakta. Yaklaşık iki yıl önce başlayan bu kampanya, başlangıçta kripto cüzdan kullanıcılarını hedef alırken, son zamanlarda kötü niyetli aktörler, güvenlik testleri ve log analizi gibi işlemleri otomatikleştiren zararlı depolar yayımlamaya yöneldi.

Kötü Amaçlı Yazılımlar ve Hedefler

Dr. Web siber güvenlik şirketinin araştırmalarına göre, şu ana kadar 2,000’den fazla Windows sistemi bu saldırılardan etkilenmiş durumda. Bulunan bir kötü amaçlı depo, Fscan ağ tarayıcısından çıktı almak, temizlemek ve formatlamak için hafif bir çözüm olarak tanıtılan sahte bir script içeriyor. Önceki tuzaklar arasında blockchain oyunları, botlar ve hile araçları bulunuyordu ve genellikle blockchain ve oyun tutkunlarını hedef alıyordu.

Kötü Amaçlı Kodların Yöntemleri

Dr. Web'in araştırması, Visual Studio proje dosyaları, Python scriptleri ve Go kaynak dosyaları içinde kötü amaçlı kodların gizlendiğini ortaya çıkardı. Bu kodlar, uzun boşluklar arkasında gizleniyor, bu eski bir teknik olmasına rağmen hala etkili. Bazı Visual Studio projelerinde, derlemeden önce kodu çalıştıran bir ön yapılandırma olayı bulunuyor.

Kirlilik zinciri, şifrelenmiş bir indirme bağlantısını almak için PowerShell kullanıyor ve ‘Microsoft.exe’ adlı modüler bir Electron tabanlı yükleyici indiriyor. Bu yükleyici, enfekte olan bilgisayarda kalıcılık sağlıyor, ayrıcalıklarını yükseltiyor, Windows güvenlik ve kurtarma özelliklerini devre dışı bırakıyor ve bir sonraki aşama (kötü amaçlı yazılım) için meşru süreçlere enjekte ediyor.

Yükleyicinin Kaçınma Teknikleri

Dr. Web, yükleyicinin varsayılan çalışma modu olan Mode3'te altı farklı kaçınma tekniği tanımladı:

• explorer.exe'yi kötü amaçlı yazılımın ebeveyn süreci olarak gösterir.
• Windows kayıt defterinde bir değeri değiştirerek Smart App Control'ü devre dışı bırakır.
• Güvenlik yazılımları tarafından eklenen kancaları kaldırmak için diskten orijinal ntdll.dll kodunu geri yükler.
• Güvenlik araçlarının müdahale etmesini zorlaştırmak için doğrudan Windows sistem çağrıları yapar.
• Etkilenmiş süreçte olay izlemeyi bastırmak için AmsiScanBuffer'ı bellekte yamanlar.

Eğer bu mod çalışmazsa, yükleyici Mode2'yi kullanarak Microsoft Defender hariç tutmaları ekler ve PowerShell scripti ile yükleri ‘RegAsm.exe’ içine şifreler.

Bilgi Çalma ve Hedef Alınan Veriler

Son olarak, hedefe teslim edilen yükler arasında AsyncRAT arka kapısı, kripto cüzdan adreslerini panoya değiştiren clipper kötü amaçlı yazılımı ve bilgi çalan bir yazılım bulunmaktadır. Bu bilgi çalan yazılım, tarayıcı verilerini, VPN ayarlarını, FTP istemci yapılandırma dosyalarını, oyun hesap verilerini ve Discord tokenlerini toplar, ardından bu verileri bir Telegram botu aracılığıyla dışarı aktarır.

Dr. Web'e göre, kötü amaçlı yazılım ayrıca ESET, McAfee ve Malwarebytes antivirüs araçlarını enfekte olan bilgisayardan kaldırmaya çalışıyor, güncelleme sunucularından koparmaya çabalıyor ve Windows yedeklemeleriyle de müdahale ediyor.

Tehlikenin Sürekliliği

Araştırmacılar, yükleyiciyi çalışır durumda tutabilen ve diskten kaldırıldığında yeniden indirilmesini sağlayan tamamlanmamış bir bileşen de buldu. Bu bulgu, kötü niyetli aktörlerin yazılımı yeni özelliklerle geliştirmek için çalıştığını gösteriyor. Araştırmacılar, bu kampanyada gözlemlenen tehlike göstergelerinin tam bir listesini paylaştı.