Profesionales de la ciberseguridad están siendo blanco de proyectos maliciosos en GitHub que instalan puertas traseras y robores de información. La campaña, que ya ha comprometido a más de 2,000 sistemas Windows, utiliza scripts falsos de seguridad y técnicas de evasión avanzadas para desactivar antivirus. Finalmente, el ataque despliega malware como AsyncRAT para robar datos sensibles y activos de criptomonedas.





Los profesionales de la ciberseguridad están siendo blanco de proyectos de seguridad infectados en GitHub que despliegan un backdoor y malware de robo de información.

La campaña comenzó hace unos dos años y inicialmente se dirigía a usuarios de monederos de criptomonedas, pero recientemente el actor de la amenaza cambió su enfoque y publicó repositorios maliciosos para automatizar escaneos, pruebas de seguridad y análisis de registros.

Investigadores de la empresa de ciberseguridad Dr. Web descubrieron que más de 2.000 sistemas Windows han sido comprometidos hasta ahora.


Un repositorio malicioso que encontraron es un script falso anunciado como una solución ligera para analizar, limpiar y formatear la salida del escáner de red Fscan.



Los señuelos anteriores incluían juegos de blockchain, bots y herramientas de trucos, dirigidos normalmente a entusiastas de los juegos y el blockchain.

La investigación de Dr. Web encontró código malicioso incrustado en archivos de proyecto de Visual Studio, scripts de Python y archivos fuente de Go, ocultos tras largos espacios en blanco, una técnica antigua que sigue resultando efectiva.

En algunos proyectos de Visual Studio, una rutina de evento de pre-compilación ejecuta el código antes de la compilación, afirman los investigadores [https://news.drweb.com/show/?i=15311&lng=en&c=5].

La cadena de infección utiliza PowerShell para recuperar un enlace de descarga cifrado que obtiene un cargador modular basado en Electron llamado ‘Microsoft.exe.’



Cadena de infección
Fuente: Dr. Web

El cargador establece persistencia en el host infectado, eleva sus privilegios, desactiva las funciones de seguridad y recuperación de Windows e inyecta la siguiente etapa (malware) en procesos legítimos.

Dr. Web describe seis técnicas de evasión en el modo Mode3 del cargador, que es su modo operativo predeterminado:

• 1. Hace que explorer.exe parezca ser el proceso padre del malware
• 2. Cambia un valor del registro de Windows para desactivar el Control de aplicaciones inteligentes
• 3. Restaura el código original de ntdll.dll desde el disco para eliminar los hooks añadidos por el software de seguridad
• 4. Realiza llamadas directas al sistema Windows que son más difíciles de interceptar para las herramientas de seguridad
• 5. Parchea EtwEventWrite en memoria para suprimir el rastreo de eventos en el proceso afectado
• 6. Parchea AmsiScanBuffer en memoria para interferir con el escaneo de scripts del antivirus

Si ese modo falla al iniciarse, el cargador utiliza el Mode2, que añade exclusiones de Microsoft Defender y utiliza un script de PowerShell para descifrar e inyectar las cargas útiles en ‘RegAsm.exe.’

Las cargas útiles finales entregadas al host son el backdoor AsyncRAT, un malware clipper que reemplaza las direcciones de monederos de criptomonedas en el portapapeles y un robador de información.

El infostealer recopila datos del navegador, configuraciones de VPN, archivos de configuración de clientes FTP, datos de cuentas de juegos y tokens de Discord, y exfiltra los detalles a través de un bot de Telegram.

Según Dr. Web, el malware también intenta eliminar las herramientas antivirus de ESET, McAfee y Malwarebytes del ordenador infectado, intenta desconectarlos de sus servidores de actualización y también interfiere con las copias de seguridad de Windows.


Los investigadores de Dr. Web también encontraron un componente aparentemente inacabado que podría ayudar a mantener el cargador en funcionamiento y descargarlo de nuevo si fuera eliminado del disco del host.

Este hallazgo sugiere que el actor de la amenaza está trabajando para mejorar el malware con nuevas funciones. Los investigadores compartieron una lista completa de indicadores de compromiso [http://github.com/DoctorWebLtd/malware-iocs/blob/master/Trojan.Loader.3261/README.adoc] observados en esta campaña.


Fuente:
BleepingComputer