Agentes de ameaça estão distribuindo malware por meio de repositórios no GitHub que se disfarçam de utilitários de segurança, infectando mais de 2.000 computadores.
Segundo a investigação da Doctor Web de 5 de novembro, a campanha tem como alvo profissionais de cibersegurança e entusiastas de jogos baseados em blockchain, usando projetos do Visual Studio e scripts em Python e Go como armas para instalar backdoors de acesso remoto, clippers de criptomoedas e ladrões de credenciais.
A operação começou usando repositórios que divulgavam jogos baseados em blockchain, bots de criptomoedas e trapaças (cheats) e, depois, se expandiu para automação de varreduras, testes de segurança e análise de logs.
Hackers usam falsas ferramentas de segurança do GitHub
Arquivos .csproj maliciosos contêm rotinas PreBuildEvent que são executadas antes da compilação, enquanto arquivos .suo carregam comandos PowerShell. As variantes em Python e Go escondem instruções maliciosas atrás de muitos espaços em branco, o que torna a inspeção casual do código-fonte menos eficaz.
Instruções sobre a instalação do Visual Studio e a clonagem do repositório reduzem ainda mais a barreira para a execução. A execução inicia o PowerShell.Packed.270 por meio de scripts como C:\\Users\\Public\\Pictures\\t.ps1.
O downloader recupera strings criptografadas de infraestruturas dos atacantes ou de serviços legítimos, incluindo YouTube, Telegram, Google Docs, GitCode e Pastebin. A descriptografia revela um local de download do arquivo Quixo.7z.
Seu conteúdo é extraído para C:\\ProgramData\\Windows.Microsoft.Photos, entregando o Microsoft.exe, um aplicativo Electron detectado como Trojan.Loader.3261. Em seguida, o loader baixa o Nexara.7z, que contém módulos e arquivos de configuração criptografados.
A implantação Mode3 do loader combina spoofing de PPID (identificador do processo pai) com adulteração do Smart App Control, desvinculação (unhooking) do ntdll.dll (biblioteca de vínculo dinâmico do Windows) e execução de syscalls via Halo's Gate (chamadas de sistema).
Ele atribui o explorer.exe como processo pai aparente e modifica o VerifiedAndReputablePolicyState para enfraquecer os controles de aplicativos. Patches adicionais de AMSI (Interface de Varredura Antimalware) e ETW (Rastreamento de Eventos para Windows) têm como alvo o AmsiScanBuffer e o EtwEventWrite, suprimindo a inspeção de scripts e a telemetria.
As cargas boot_f, kernel_f e thread_f, depois de descriptografadas, são injetadas no RegAsm.exe, no dwwin.exe ou no dwm.exe. Se a implantação falhar, o Mode2 extrai DLLs thumbcache criptografadas e reconstrói o PowerShell.Inject.245 a partir de dados de configuração. O script descriptografa as cargas e as injeta no RegAsm.exe.
Mode3non e Handler oferecem caminhos alternativos de execução. Por fim, duas instâncias do AsyncRAT estabelecem acesso remoto por portas diferentes, o que pode permitir que operadores distintos controlem o mesmo computador simultaneamente.
O Trojan.InjectNET.14 também injeta o Trojan.Clipper.688 no regasm.exe para substituir endereços de carteiras de criptomoedas e transmitir capturas de tela pelo Telegram.
O JS.Stealer.191, baseado em Electron, realiza verificações de virtualização e de ambiente sandbox antes de coletar senhas de navegadores, cookies, registros de preenchimento automático, tokens do Discord, configurações de VPN (Rede Privada Virtual) e arquivos de mensagens.
A Doctor Web afirmou que o código também tem como alvo arquivos XML do FileZilla, o MobaXterm.ini e o wcx_ftp.ini do Total Commander. As informações coletadas são compactadas e enviadas para fora por um bot do Telegram controlado pelos atacantes.
O loader estabelece persistência por meio de tarefas agendadas e entradas Run no registro, tenta escalar privilégios e desativa o Microsoft Defender, o UAC (Controle de Conta de Usuário), a Restauração do Sistema e o VSS (Serviço de Cópia de Sombra de Volume).
Ele também tenta desinstalar ESET, McAfee e Malwarebytes e redireciona domínios de antivírus por meio de modificações no arquivo hosts. Os indicadores divulgados incluem muckanthropic[.]com, muckduck.duckdns[.]org, muckcoding[.]com e muckdeveloper[.]com.
Esses comportamentos mostram como utilitários aparentemente úteis para desenvolvedores se tornam mecanismos de distribuição para vigilância contínua, comprometimento de credenciais e roubo de criptomoedas.
