Sahte GitHub güvenlik araçları siber güvenlik uzmanlarını hedef alıyor: Doctor Web 2.000'den fazla bilgisayarın enfekte olduğunu açıkladı
Doctor Web, tarama, güvenlik testi ve log analizi aracı gibi görünen GitHub projelerine gizlenmiş bir zararlı kampanyası tespit etti. Proje açıldığında çalışan PowerShell betiği Windows Defender'ı kapatıyor, bazı antivirüs ürünlerini kaldırıyor ve AsyncRAT, clipper ve stealer yüklüyor.
Rus güvenlik şirketi Doctor Web, GitHub'da güvenlik aracı kılığına girmiş projelerle yürütülen bir zararlı yazılım kampanyasını raporladı. Security Affairs'in aktardığına göre araştırma sırasında 2.000'den fazla bilgisayar enfekte durumdaydı.
Kampanya yeni değil: yaklaşık iki yıl önce blockchain oyunları, oyun botları ve hile araçlarıyla ilgili Visual Studio projeleriyle başladı ve kripto cüzdan kullanıcılarını hedefledi. Doctor Web'e göre saldırganlar son dönemde rotayı siber güvenlik çalışanlarına çevirdi; yeni projeler otomatik tarama, güvenlik testi ve log analizi aracı olarak sunuluyor. Bunlardan biri, açık kaynak Fscan tarayıcısının sonuçlarını analiz edip temizlediğini iddia ediyor.
Zararlı nasıl çalışıyor?
Zararlı kod, derleme öncesinde çalışan proje komutlarına ve yapılandırma dosyalarındaki PowerShell komutlarına gizleniyor. Python ve Go dosyalarında ise kodun uzun boşluk bloklarının arkasına saklandığı görüldü. Proje açıldığında çalışan betik, saldırganların sunucularına ve YouTube, Telegram, Google Docs, GitCode, Pastebin gibi meşru platformlara bağlanıyor; aldığı şifreli metindeki bağlantıdan bir arşiv indiriliyor.
Arşiv, Windows Fotoğraflar bileşeni gibi görünen bir klasöre açılıyor. Asıl işi Electron ile yazılmış modüler bir uygulama yapıyor. Rapora göre loader:
- Sistem bilgisini bir Telegram bot'una gönderiyor, kalıcılık sağlıyor ve yetki yükseltiyor.
- Windows Defender, UAC, Sistem Geri Yükleme ve shadow copy'leri kapatıyor, Defender'a kendi istisnalarını ekliyor.
- McAfee, ESET ve Malwarebytes ürünlerini kaldırıyor; hosts dosyasını değiştirerek antivirüs üreticilerinin alan adlarını engelliyor.
Ardından üç payload geliyor: iki ayrı portta çalışan AsyncRAT backdoor'u (Doctor Web bunun iki operatörün aynı cihazı yönetmesine işaret edebileceğini düşünüyor), panodaki kripto cüzdan adreslerini değiştiren bir clipper ve tarayıcı verilerini, FileZilla, MobaXterm, Total Commander yapılandırmalarını, VPN ayarlarını, mesajlaşma dosyalarını ve Discord token'larını toplayan bir stealer. Araştırmacılar, henüz tamamlanmamış yeni bir bileşen bulduklarını ve zararlının geliştirilmeye devam ettiğini belirtiyor.
Neden önemli?
Güvenlik ekiplerinin makineleri genellikle SSH anahtarları, VPN profilleri ve müşteri ortamlarına erişim bilgileri taşır. Test aracı diye indirilen tek bir projenin bu bilgileri topluca götürmesi, bireysel bir enfeksiyonu kurumsal bir ihlale çevirebilir.
Ne yapılmalı?
- GitHub'dan indirilen araçları, özellikle yıldız sayısı yüksek ama geçmişi kısa projeleri, derlemeden ya da çalıştırmadan önce inceleyin; Visual Studio projelerindeki derleme öncesi olayları (pre-build event) ve betik dosyalarını okuyun.
- Bilinmeyen araçları kurumsal kimlik bilgisi taşımayan, izole bir sanal makinede deneyin.
- Defender istisnalarında beklenmeyen bir yol olup olmadığını salt okunur olarak kontrol edin (yönetici PowerShell):
Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled- Güvenlik ürünlerinin kendiliğinden devre dışı kalması ya da kaldırılması EDR/SIEM tarafında alarm üretmeli; bu olayları izleyin.
- Şüpheli bir proje çalıştırıldıysa o makinedeki SSH anahtarlarını, VPN ve tarayıcıda kayıtlı parolaları başka bir cihazdan değiştirin ve cihazı yeniden kurmayı değerlendirin.
