GitHub: фейковые инструменты безопасности распространяют бэкдоры

Специалисты по кибербезопасности стали основной целью масштабной кампании по распространению вредоносного ПО через GitHub. Злоумышленники публикуют фальшивые инструменты для автоматизации сканирования, анализа логов и тестирования безопасности, которые при запуске заражают системы бэкдорами и стилерами.

• Кампания длится около двух лет, изначально нацеливаясь на крипто-энтузиастов
• Заражено более 2000 систем на базе Windows по всему миру
• Вредоносный код скрыт внутри файлов проектов Visual Studio, Python-скриптов и исходников на Go
• Использование методов маскировки, включая длинные пробелы и внедрение кода в этапы пре-сборки

Технические детали атаки Исследователи из Dr. Web обнаружили, что вредоносный загрузчик под названием «Microsoft.exe» использует PowerShell для получения зашифрованных команд. Загрузчик обладает высокой степенью автономности: он повышает привилегии, отключает защиту Windows и внедряет полезную нагрузку в доверенные системные процессы, такие как RegAsm.exe.

Для обхода защиты инструмент использует сложные методы, включая прямое обращение к системным вызовам Windows, патчинг функций AMSI (Antimalware Scan Interface) для блокировки антивирусов и восстановление оригинального кода ntdll.dll. Такие приемы позволяют вредоносному ПО оставаться незамеченным стандартными средствами безопасности.

Ущерб и функционал вредоносного ПО Финальная стадия атаки включает установку бэкдора AsyncRAT, крипто-клиппера и стилера данных. Последний собирает информацию из браузеров, VPN-клиентов, игровых аккаунтов и Discord-токенов, отправляя украденные данные через Telegram-бота. ПО также активно пытается удалить защитное ПО от ESET, McAfee и Malwarebytes.

Значение для профессионалов Для разработчиков и специалистов по ИБ этот инцидент служит серьезным предупреждением: даже проверенные платформы, такие как GitHub, могут содержать скрытые угрозы. Рекомендуется проверять исходный код перед компиляцией, особенно если скрипты обещают автоматизацию задач, требующих глубокого анализа. Использование сторонних репозиториев без тщательного аудита кода в текущих условиях создает критический риск компрометации рабочей среды.