Hakkerit käyttävät SourceForgea Microsoft Office -työkaluiksi naamioitujen kryptohaittaohjelmien levittämiseen

Laajamittainen haittaohjelmaoperaatio on hyödyntänyt SourceForgea, luotettavaa avoimen lähdekoodin ohjelmistovarastoa, levittääkseen salaukseen kohdistettuja haittaohjelmia petollisten toimistoohjelmistolatausten kautta.

Tammi-maaliskuussa yli 4 600 laitetta vaarantui pääasiassa Venäjällä.

Hyökkäyksen havaitsi Kaspersky, joka julkaisi yksityiskohtaiset havainnot 8. huhtikuuta.

Hyökkääjät käyttivät SourceForgen alustatyökaluja luodakseen vakuuttavan rintaman kampanjalleen ja loivat väärennetyn projektin, joka matki Microsoft Office -lisäosia.

Kehittäjäystävällisen ulkonäön takana infrastruktuuri toimi kuitenkin haittaohjelmien käynnistysalustana.

Toiminto yhdisti tiedostojen hämärtymisen, salasanasuojauksen ja suuret valeasennusohjelmat tartunnan saaneiden järjestelmien havaitsemisen välttämiseksi ja pysyvyyden ylläpitämiseksi.

Yli 4 600 laitetta osui

Tutkijat jäljittelivät kampanjan SourceForgen isännöimälle sivulle nimeltä “officepackage”, joka jäljitteli GitHubista poistettuja Microsoft Office -laajennuksia.

Kun projekti on julkaistu, se sai automaattisesti oman aliverkkotunnuksen-officepackage.sourceforge.io.

Yandexin kaltaiset hakukoneet indeksoivat tämän aliverkkotunnuksen, mikä teki sen helposti toimistoohjelmistoja etsivien käyttäjien havaittavissa.

Kun käyttäjät vierailivat sivulla, he kohtasivat luettelon ladattavista toimistotyökaluista, jotka näyttivät olevan laillinen.

Linkkien napsauttaminen ohjasi ne useita kertoja ennen pienen zip-arkiston toimittamista.

Kun arkisto oli purettu, se muuttui 700 Mt:n asennusohjelmaksi, joka oli suunniteltu huijaamaan käyttäjiä ja välttämään virustarkistuksia.

Fake asennusohjelma piilottaa haittaohjelmat

Asennusohjelma sisälsi upotettuja komentosarjoja, jotka latasivat lisää hyötykuormia GitHubista.

Näihin hyötykuormiin sisältyivät kryptovaluutan louhinta ja ClipBanker – haittaohjelma, joka kaappaa leikepöydän sisällön ohjatakseen kryptotapahtumat hyökkääjien ohjaamiin lompakoihin.

Ennen haittaohjelman asentamista yksi komentosarja tarkistaa virustentorjuntatyökalujen olemassaolon.

Jos niitä ei löydy, hyötykuorma etenee tukiapuohjelmien, kuten AutoIt ja Netcat, käyttöönottoon.

Toinen komentosarja lähettää laitetiedot Telegram-botille, jota uhkatekijät hallitsevat.

Nämä tiedot auttavat hyökkääjiä määrittämään, mitkä tartunnan saaneet järjestelmät ovat arvokkaimpia tai sopivat jälleenmyyntiin pimeässä verkossa.

Toimitukseen käytetty SourceForge

SourceForgen käyttö alkuperäisenä tartuntavektorina lisäsi kampanjan uskottavuutta.

SourceForge, joka tunnetaan roolistaan ​​laillisten avoimen lähdekoodin ohjelmistojen levittämisessä, antoi hyökkääjille mahdollisuuden ohittaa monet haitallisiin latauksiin tyypillisesti liittyvät punaiset liput.

Hyökkääjien sivuston sisäänrakennetun projektin ja isännöintiominaisuuksien käyttö tarkoitti, että haittaohjelma saattoi naamioitua luotettavaksi sovellukseksi ilman ulkoista infrastruktuuria.

Kasperskyn tietojen mukaan 90 % tartuntayrityksistä tuli venäläisiltä käyttäjiltä.

Vaikka alkuperäinen hyötykuorma keskittyy kryptovarkauksiin, tutkijat varoittivat, että vaarantuneet laitteet voidaan käyttää uudelleen tai myydä muille rikollisryhmille jatkokäyttöä varten.

Yandexin ja GitHubin tuki levisi

Kampanjan tehokkuutta paransi SourceForge-aliverkkotunnuksen indeksointi Yandexissa, joka on yksi Venäjän suurimmista hakukoneista.

Tämä lisäsi näkyvyyttä mahdollisten uhrien keskuudessa, erityisesti niiden, jotka etsivät tuottavuusohjelmistoja verkosta.

GitHubin käyttö toissijaisena isännöintipaikkana haittaohjelmien latauksille antoi hyökkääjille mahdollisuuden ylläpitää ja päivittää hyötykuormia helposti.

GitHubin laajalle levinnyt turvallisuuden maine peitti entisestään operaation ilkeä tarkoitus.

Kaspersky ei ole paljastanut kampanjan taustalla olevia henkilöitä, eikä ole viitteitä siitä, että SourceForge tai GitHub olisivat olleet osallisia.

Molempia alustoja näyttää olevan hyödynnetty niiden julkisesti saatavilla olevien ominaisuuksien kautta. On edelleen epäselvää, onko haitallinen projekti sittemmin poistettu.