Троян на GitHub атакует ИБ-специалистов через проекты Visual Studio

Проекты Visual Studio на GitHub содержат троян Trojan.Loader.3261

Антивирусная лаборатория «Доктор Веб» обнаружила зараженные репозитории на GitHub. В них находились проекты среды разработки Microsoft Visual Studio с вредоносным кодом. Троян внедрялся в файлы .suo, .csproj, а также в файлы на Python и Go. Финальная нагрузка — приложение Microsoft.exe, которое создает бэкдор, клиппер и похищает данные пользователей. Вредоносные проекты ориентированы на специалистов по информационной безопасности и пользователей криптоигр. На момент исследования заражено более 2 000 ПК.

Вредоносный код запускается перед компиляцией проекта

Первые зараженные репозитории появились два года назад. Ранние версии трояна нацеливались на пользователей криптокошельков. Злоумышленники публиковали проекты Visual Studio на тему криптоигр, а также ботов и читов для них. В таких репозиториях файл .csproj содержал инструкцию PreBuildEvent, запускающую вредоносный код перед компиляцией. Файлы .suo содержали зашифрованную PowerShell команду. Злоумышленники предоставляли инструкции по установке Visual Studio и клонированию репозитория.

Троян переключился на специалистов по ИБ

В настоящее время злоумышленники переключили трояны на специалистов по информационной безопасности. Вредоносное ПО теперь скрывается в проектах по автоматизации сканирования, тестированию безопасности систем и анализу логов. К прошлой нагрузке добавились файлы .go и .py, где вредоносный код скрывается за большим количеством пробелов. Среди адресов злоумышленников: muckanthropic[.]com, muckduck.duckdns[.]org, muckcoding[.]com, muckdeveloper[.]com и IP-адрес 130.12.182[.]172.

PowerShell скрипт инициирует загрузку трояна

После скачивания зараженных файлов на компьютере пользователя запускается PowerShell скрипт. Скрипт может обращаться как к серверам злоумышленников, так и к легитимным сервисам, таким как YouTube, Telegram, Google-документы, GitCode и Pastebin. Оттуда троян получает строку, которая после расшифровки становится ссылкой на архив Quixo.7z. Архив скачивается с серверов злоумышленников или GitHub и распаковывается в директорию C:\ProgramData\Windows.Microsoft.Photos.

Microsoft.exe (Trojan.Loader.3261) обладает широким набором функций

Приложение Microsoft.exe, написанное на фреймворке Electron, наносит ущерб пользователям. Актуальная версия трояна — 1.4.5. Trojan.Loader.3261 скачивает файл Nexara.7z с зашифрованной полезной нагрузкой и конфигурациями. Он собирает информацию о ПК и отправляет ее злоумышленникам через Telegram-бота. Троян устанавливает себя в автозагрузку, повышает привилегии двумя способами и отключает Windows Defender, UAC, уведомления, System Restore и VSS. Он добавляет исключения в Windows Defender, внедряет вредоносные файлы в легитимные процессы (BackDoor.AsyncRAT.115, Trojan.InjectNET.14) и распаковывает дополнительную нагрузку из архива Nexara/Nvdia.7z (JS.Stealer.191). Троян также удаляет антивирусы McAfee, ESET и Malwarebytes и модифицирует файл hosts.

Режим Mode3 использует техники обхода защит

Разработчики запрограммировали режим Mode3 для обхода систем защиты. Применяются техники PPID spoofing, Smart App Control bypass, Ntdll.dll unhooking, Halo’s Gate, ETW patch и AMSI patch. При успешном обходе троян выбирает один из процессов для внедрения: RegAsm.exe, dwwin.exe или dwm.exe. Вредоносные модули содержатся в файлах boot_f, kernel_f, thread_f, зашифрованных в Nexara.7z. После внедрения троян проверяет соединения с управляющим сервером.

Режим Mode2 запускает полезную нагрузку при неудаче

Троян реализует режим Mode2, если не удалось запустить полезную нагрузку. Он расшифровывает и проверяет файлы thumbcache_{11..20}.dll из архива Nexara.7z. Режим вносит исключения для regasm.exe и dwm.exe в Windows Defender. Затем он расшифровывает части PowerShell скрипта (PowerShell.Inject.245), записывает его в папку temp и запускает. Скрипт расшифровывает файлы boot_f, kernel_f, thread_f и внедряет их в процесс RegAsm.exe. Троян также ищет файл cryptwizard, расшифровывает и внедряет его в процесс dwwin.exe.

Режим Mode3non повторяет Mode3 без техник обхода

Режим Mode3non повторяет функциональность режима Mode3 за исключением техник обхода защит. Режим Handler повторяет схему запуска вредоносных модулей, описанную для Mode2. Этот режим менее гибкий и модульный, так как все данные напрямую вписаны в код. Возможно, это устаревшая версия запуска, которую злоумышленники оставили в коде.

BackDoor.AsyncRAT.115 предоставляет полный доступ к компьютеру

Основная задача всех режимов — запуск трех вредоносных нагрузок: двух файлов BackDoor.AsyncRAT.115 и Trojan.InjectNET.14. BackDoor.AsyncRAT.115 предоставляет злоумышленникам полный доступ к зараженному компьютеру. Два идентичных вредоносных файла внедряются в процессы, отличаясь только портами подключения. Предположительно, это позволяет двум операторам одновременно управлять одним ПК.

Trojan.InjectNET.14 подменяет адреса криптокошельков

Trojan.InjectNET.14 внедряет в процесс regasm.exe файл Trojan.Clipper.688. Этот файл подменяет адреса криптокошельков в буфере обмена. При замене он делает скриншот экрана и отправляет его в Telegram-бота вместе с информацией о версии клиппера, имени активного окна, имени пользователя и его IP-адресе.

JS.Stealer.191 крадет данные пользователя

После внедрения полезных нагрузок троян распаковывает из архива Nexara/Nvdia.7z стилер JS.Stealer.191. Троян проверяет запуск в изолированной среде, собирает информацию о зараженном ПК и крадет данные пользователя: данные из браузеров, XML-файлы FileZilla, MobaXterm.ini, wcx_ftp.ini, конфигурации VPN, файлы мессенджеров, аккаунты игр и игровых сервисов, токены Discord. Похищенные данные архивируются и отправляются злоумышленникам через Telegram-бота.

Троян удаляет антивирусы и модифицирует файл hosts

Если на зараженной машине установлены антивирусы ESET, McAfee или Malwarebytes, троян пытается их удалить. В системный файл system32\drivers\etc\hosts троян добавляет запись о блокировании доменов антивирусных вендоров. Дополнительно ВПО удаляет все файлы и папки в директории system32\drivers\etc, кроме разрешенных hosts, networks, protocol, services, lmhosts.sam. Это препятствует восстановлению данных из бэкапов.

Будущие возможности включают закрепление и обновления

Злоумышленники постоянно модифицируют код трояна. Исследователи обнаружили неиспользуемые функции для скачивания и запуска архива Lodge.7z. В нем находится разрабатываемый проект на фреймворке Electron с исполняемым файлом WUDFHost.exe. Будущие функции включают создание сервиса для закрепления Microsoft.exe, контроль его наличия на диске и повторную загрузку, контроль автозагрузки и установку обновлений.