ابزارهای امنیتی جعلی در GitHub درهای پشتی و سرقت اطلاعات را تحت فشار قرار می دهند

متخصصان امنیت سایبری با پروژه های امنیتی آلوده در GitHub که یک بدافزار در پشتی و دزد اطلاعات را مستقر می کند، هدف قرار می گیرند.

این کمپین حدود دو سال پیش آغاز شد و در ابتدا کاربران کیف پول رمزنگاری را هدف قرار داد، اما اخیرا عامل تهدید، تمرکز خود را تغییر داده و مخازن مخربی را برای خودکارسازی اسکن، تست امنیتی و تجزیه و تحلیل گزارش منتشر کرده است.

محققان شرکت امنیت سایبری دکتر وب دریافتند که تاکنون بیش از 2000 سیستم ویندوز در معرض خطر قرار گرفته است.

یکی از مخزن های مخربی که آنها پیدا کردند، یک اسکریپت جعلی است که به عنوان راه حلی سبک برای تجزیه، تمیز کردن و قالب بندی خروجی از اسکنر شبکه Fscan تبلیغ می شود.

فریب های قبلی شامل بازی های بلاک چین، ربات ها و ابزارهای تقلب بود که معمولا علاقه مندان به بلاک چین و بازی را هدف قرار می دادند.

تحقیقات دکتر وب کدهای مخربی را پیدا کرد که در فایل‌های پروژه ویژوال استودیو، اسکریپت‌های پایتون و فایل‌های منبع Go، پنهان شده بود، که در پشت فضای سفید طولانی پنهان شده بود، تکنیکی قدیمی که هنوز موثر است.

به گفته محققان، در برخی از پروژه‌های ویژوال استودیو، یک روال رویداد پیش‌ساز، کد را قبل از کامپایل اجرا می‌کند.

زنجیره عفونت از PowerShell برای بازیابی یک لینک دانلود رمزگذاری شده استفاده می کند که یک لودر مبتنی بر الکترون ماژولار به نام «Microsoft.exe» را بازیابی می کند.

لودر پایداری را روی میزبان آلوده ایجاد می کند، امتیازات آن را افزایش می دهد، ویژگی های امنیتی و بازیابی ویندوز را غیرفعال می کند و مرحله بعدی (بدافزار) را به فرآیندهای قانونی تزریق می کند.

دکتر وب شش تکنیک فرار را در حالت Loader’s Mode3 که حالت عملیاتی پیش‌فرض آن است، توضیح می‌دهد:

اگر آن حالت راه‌اندازی نشد، لودر از Mode2 استفاده می‌کند، که استثناهای Microsoft Defender را اضافه می‌کند و از یک اسکریپت PowerShell برای رمزگشایی و تزریق بارها به «RegAsm.exe» استفاده می‌کند.

بارهای نهایی تحویل داده شده به میزبان عبارتند از درپشتی AsyncRAT، بدافزار کلیپر که جایگزین آدرس های کیف پول کریپتو در کلیپ بورد و یک دزد اطلاعات می شود.

infostealer داده‌های مرورگر، تنظیمات VPN، فایل‌های پیکربندی کلاینت FTP، داده‌های حساب بازی و توکن‌های Discord را جمع‌آوری می‌کند و جزئیات را از طریق ربات تلگرام استخراج می‌کند.

به گفته دکتر وب، این بدافزار همچنین سعی می کند ابزارهای آنتی ویروس ESET، McAfee و Malwarebytes را از رایانه آلوده حذف کند، سعی می کند آنها را از سرورهای به روز رسانی خود جدا کند و همچنین در پشتیبان گیری ویندوز اختلال ایجاد می کند.

محققان دکتر وب همچنین یک مؤلفه به ظاهر ناتمام پیدا کردند که می تواند به فعال نگه داشتن لودر کمک کند و در صورت حذف آن از دیسک میزبان، آن را دوباره دانلود کند.

این یافته نشان می دهد که عامل تهدید برای بهبود بدافزار با ویژگی های جدید کار می کند. محققان فهرست کاملی از شاخص های مصالحه مشاهده شده در این کمپین را به اشتراک گذاشتند.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

مخازن جعلی LastPass Authenticator GitHub، اطلاعات جدید Rapuncel را تحت فشار قرار می دهد.

خط لوله انتشار LiteLLM برای توزیع بدافزار دزد اطلاعات هک شد

OVHcloud CLI به صورت پشتی در GitHub منتشر می شود تا اسرار توسعه دهندگان را بدزدد

بدافزار MacSync از تقویم های عمومی iCloud برای تحویل بارهای جدید استفاده می کند