Более 2000 компьютеров заразились после скачивания проектов с GitHub. Причём среди целей хакеров оказались специалисты по кибербезопасности, которым под видом полезных инструментов подсунули троян с целым арсеналом средств обхода защиты.
Вредоносные репозитории обнаружили исследователи «Доктор Веб». Первые образцы появились около двух лет назад и маскировались под проекты для блокчейн-игр, ботов и читов. Теперь злоумышленники переключились на профессионалов, которые ищут инструменты для проверки безопасности, автоматизации сканирования и анализа журналов.
Опасный код прячут непосредственно в проектах Microsoft Visual Studio. Файл .csproj содержит команду PreBuildEvent, запускающую вредоносные действия перед компиляцией, а в .suo записаны инструкции PowerShell. В исходниках Python и Go подозрительные фрагменты скрывают за множеством пробелов, затрудняя их обнаружение при беглом просмотре.
После запуска заражённого проекта PowerShell обращается к серверам злоумышленников и легальным площадкам, включая Telegram, Pastebin и Google Docs. Полученная зашифрованная строка превращается в ссылку на архив Quixo.7z. Внутри находится приложение Microsoft.exe, созданное на Electron. Несмотря на название, к штатным компонентам Windows программа не относится.
Основную работу выполняет Trojan.Loader.3261. Загрузчик получает дополнительные модули из архива Nexara.7z, собирает сведения о компьютере, закрепляется в системе и пытается повысить привилегии. Среди функций предусмотрено отключение Microsoft Defender, контроля учётных записей UAC, системных уведомлений и средств восстановления Windows.
Для обхода защит троян использует подмену родительского процесса, прямые системные вызовы и восстановление оригинального кода библиотеки ntdll.dll. Последний приём помогает избавиться от перехватчиков, установленных средствами защиты. Вредонос также вмешивается в работу ETW и AMSI, затрудняя обнаружение подозрительных команд и скриптов.
После обхода защиты троян внедряет модули в легитимные процессы Windows. Две копии BackDoor.AsyncRAT.115 предоставляют удалённый доступ к компьютеру через разные порты. Исследователи допускают, что такая схема позволяет двум операторам одновременно управлять одной машиной. Дополнительный модуль подменяет криптовалютные адреса в буфере обмена.
Клиппер Trojan.Clipper.688 делает скриншоты во время подмены адресов и отправляет сведения через Telegram-бота. Другой компонент, JS.Stealer.191, похищает браузерные данные, настройки VPN, файлы FileZilla и MobaXterm, учётные сведения игровых сервисов и токены Discord. Перед запуском стилер пытается определить, не находится ли компьютер в виртуальной машине или песочнице.
Согласно исследованию, вредонос также пытается удалить ESET, McAfee и Malwarebytes, блокирует домены антивирусных компаний через файл hosts. Аналитики обнаружили незавершённый модуль, способный в дальнейшем восстанавливать удалённые компоненты и управлять обновлениями. Подтверждений работы новых функций пока нет.
Опасность кампании заключается в доверии к профессиональным инструментам. Даже опытный разработчик рискует запустить чужой код ещё до сборки программы. Похожую схему использовали злоумышленники, распространявшие заражённые проекты под видом рабочих заданий для программистов.