Fałszywe narzędzia bezpieczeństwa na GitHubie zainfekowały ponad 2000 komputerów

Według badaczy z Dr. Web fałszywe narzędzia bezpieczeństwa publikowane na GitHubie zainfekowały już ponad 2000 komputerów z Windows. Na zainfekowanym komputerze lądują trzy programy: backdoor AsyncRAT, program podmieniający adresy portfeli kryptowalut w schowku oraz stealer kradnący dane. Kampania trwa od około dwóch lat. Na początku przynętą były gry blockchain, boty i cheaty, a teraz są to repozytoria do automatyzacji skanów, testów bezpieczeństwa i analizy logów. Złośliwy kod ukryto w plikach projektów Visual Studio, skryptach Pythona i plikach źródłowych Go, za długimi ciągami spacji. Loader „Microsoft.exe” wyłącza zabezpieczenia i funkcje odzyskiwania Windows, a gdy domyślny tryb zawiedzie, dodaje wykluczenia w Microsoft Defender.

Kogo dotyczy

Kampania jest wymierzona w osoby, które pobierają z GitHuba skrypty do skanowania sieci, testów bezpieczeństwa i analizy logów. Przykładem jest fałszywy skrypt do porządkowania wyników skanera Fscan. Wcześniej celem byli użytkownicy portfeli kryptowalut i gracze. W części projektów Visual Studio złośliwy kod uruchamia się jeszcze przed kompilacją, w zdarzeniu pre-build.