انتشار بدافزارهای سرقت اطلاعات و درهای پشتی در پوشش ابزارهای امنیتی جعلی در GitHub

متخصصان امنیت سایبری هدف کارزار مخربی قرار گرفته‌اند که در آن، پروژه‌های آلوده امنیتی در GitHub اقدام به بارگذاری درهای پشتی (Backdoor) و بدافزارهای سرقت اطلاعات روی سیستم قربانیان می‌کنند.

این کارزار فعالیت خود را حدود دو سال پیش آغاز کرد و در ابتدا کاربران کیف‌های پول ارز دیجیتال را هدف گرفته بود؛ اما عامل تهدید به‌تازگی رویکرد خود را تغییر داده و به انتشار مخازن مخرب با ادعای اتوماسیون اسکن شبکه، آزمون‌های امنیتی و تحلیل لاگ‌ها روی آورده است.

پژوهشگران شرکت امنیت سایبری Dr. Web دریافتند که تاکنون بیش از ۲ هزار سیستم تحت ویندوز به این بدافزارها آلوده شده و به دام هکرها افتاده‌اند.

یکی از مخازن مخرب کشف‌شده، اسکریپت ساختگی ویژه‌ای است که به‌عنوان ابزاری سبک برای تجزیه، پاک‌سازی و قالب‌بندی خروجی‌های اسکنر شبکه Fscan تبلیغ شده بود.

طعمه‌های پیشین این مهاجمان شامل بازی‌های بلاکچینی، ربات‌ها و ابزارهای تقلب در بازی بود که عموماً علاقه‌مندان به رمزارزها و جامعه گیمرها را هدف قرار می‌داد.

بررسی‌های تخصصی Dr. Web نشان داد کدهای مخرب در فایل‌های پروژه‌های Visual Studio، اسکریپت‌های پایتون و فایل‌های منبع زبان Go جاسازی شده‌اند. مهاجمان این کدها را پشت فواصل خالی طولانی (Whitespace) پنهان کرده بودند؛ تکنیکی قدیمی که همچنان کارآمدی خود را در فریب تحلیل‌گران حفظ کرده است.

به‌گفته پژوهشگران این پرونده، در برخی پروژه‌های Visual Studio از روتین‌های پیش از ساخت (Pre-build Event) استفاده شده است تا کد مخرب دقیقاً پیش از کامپایل شدن نهایی به مرحله اجرا درآید.

زنجیره آلودگی در این بدافزار از PowerShell برای دریافت پیوند دانلود رمزگذاری‌شده کمک می‌گیرد؛ پیوندی که یک لودر ماژولار مبتنی بر فریمورک Electron با نام ظاهری Microsoft.exe را دانلود می‌کند.

این لودر پس از استقرار پایدار روی سیستم قربانی، سطح دسترسی‌های خود را ارتقا می‌دهد، قابلیت‌های امنیتی و بازیابی ویندوز را غیرفعال می‌سازد و کدهای مخرب مراحل بعدی را به درون پردازش‌های مجاز و قانونی سیستم‌عامل تزریق می‌کند.

کارشناسان Dr. Web شش روش دور زدن لایه‌های امنیتی را در حالت کاری پیش‌فرض این لودر (Mode3) تشریح کرده‌اند:

1. نمایش explorer.exe به‌عنوان پردازش والد بدافزار برای گمراه‌سازی ابزارهای پایش
2. تغییر مقادیر رجیستری ویندوز برای غیرفعال‌سازی قابلیت Smart App Control
3. بازگردانی کدهای اصلی ntdll.dll از دیسک به‌منظور خنثی‌سازی هوک‌های نرم‌افزارهای امنیتی
4. برقراری فراخوانی‌های مستقیم سیستمی در ویندوز (Direct System Calls) برای دشوارتر کردن رهگیری توسط ابزارهای حفاظتی
5. اصلاح تابع EtwEventWrite در حافظه رم برای جلوگیری از ثبت رویدادها در فرآیند آلوده
6. دستکاری تابع AmsiScanBuffer در حافظه رم با هدف اختلال در پویش امنیتی اسکریپت‌ها توسط آنتی‌ویروس

در صورتی که اجرای حالت فوق با شکست روبه‌رو شود، لودر به حالت دوم (Mode2) تغییر وضعیت می‌دهد؛ در این حالت استثناهایی در تنظیمات آنتی‌ویروس مایکروسافت دیفندر اعمال می‌شود و با استفاده از اسکریپت PowerShell، بار مخرب رمزگشایی شده و به پردازش RegAsm.exe تزریق می‌گردد.

بارهای مخرب نهایی که به سیستم میزبان منتقل می‌شوند شامل در پشتی AsyncRAT، یک بدافزار کلیپر (Clipper) برای جایگزینی نشانی کیف‌های پول رمزارز در حافظه کلیپ‌بورد و یک ابزار سرقت اطلاعات (Infostealer) هستند.

بدافزار سرقت اطلاعات، داده‌های ذخیره‌شده در مرورگرها، تنظیمات ارتباطی VPN، فایل‌های پیکربندی نرم‌افزارهای FTP، داده‌های حساب‌های کاربری بازی‌ها و توکن‌های نشست پیام‌رسان دیسکورد را جمع‌آوری کرده و تمامی این اطلاعات حساس را از طریق یک ربات تلگرام به سرورهای هکر ارسال می‌کند.

بر اساس گزارش Dr. Web، این بدافزار حتی تلاش می‌کند نرم‌افزارهای امنیتی ESET، McAfee و Malwarebytes را از روی رایانه قربانی حذف کند، اتصال آن‌ها را به سرورهای به‌روزرسانی قطع سازد و در عملکرد پشتیبان‌گیری ویندوز نیز اختلال ایجاد نماید.

پژوهشگران Dr. Web مؤلفه ظاهراً ناتمامی را نیز شناسایی کرده‌اند که کارکرد آن پایدار نگه‌داشتن لودر در حال اجرا و دانلود مجدد آن در صورت پاک‌سازی از دیسک سیستم است.

این شواهد نشان می‌دهد طراحان حمله همچنان در حال بهینه‌سازی بدافزار و افزودن قابلیت‌های تازه‌تر به آن هستند. محققان این شرکت فهرست کاملی از نشانه‌های آلودگی (IoC) مشاهده‌شده در این کارزار را به اشتراک گذاشته‌اند تا کارشناسان شبکه بتوانند سیستم‌های خود را در برابر این تهدید ایمن کنند.