GitHub Зловреден софтуер, който атакува проекти в интегрираната среда за разработка NetBeans и използва процеса на компилиране за разпространението си. Разследването показа, че с помощта на разглеждания зловреден софтуер, наречен Octopus Scanner, са били скрито интегрирани бекдори в 26 отворени проекта с репозитории в GitHub. Първоначалните следи от проявата на Octopus Scanner са датирани от август 2018 година.
Зловредният софтуер е способен да открива файлове с проекти на NetBeans и да добавя своя код в файловете на проекта и създаваните JAR файлове. Алгоритъмът на работа се състои в намирането на директорията на NetBeans с проектите на потребителя, проверка на всички проекти в тази директория и копиране на зловредния скрипт в и прилагане на промени във файла за извикване на този сценарий при всяко компилиране на проекта. При компилирането копие на зловредния софтуер се включва в резултатните JAR файлове, които стават източник на последващо разпространение. Например, зловредни файлове бяха публикувани в репозиториите на посочените 26 отворени проекта, а също и в различни други проекти при публикуването на компилации на нови версии.
При изтеглянето и стартирането на засегнат JAR файл от друг потребител, в неговата система започваше нов цикъл на търсене на NetBeans и внедряване на зловреден код, което съответства на модела на работа на самораспространяващи се компютърни вируси. Освен функционалността за самораспространение, зловредният код включва и функции за бекдор, които предоставят дистанционен достъп до системата. Към момента на анализа на инцидента, управляващите бекдор сервери (C&C) не бяха активни.
По време на изучаването на засегнатите проекти бяха идентифицирани 4 варианта на инфекция. В един от вариантите, за активиране на бекдора в Linux, беше създаден файл за автоматично стартиране " $HOME/.config/autostart/octo.desktop", а в Windows за стартиране беше използвано планирано стартиране чрез schtasks. Сред другите създадени файлове:
- $HOME/.local/share/bbauto
- $HOME/.config/autostart/none.desktop
- $HOME/.config/autostart/.desktop
- $HOME/.local/share/Main.class
- $HOME/Library/LaunchAgents/AutoUpdater.dat
- $HOME/Library/LaunchAgents/AutoUpdater.plist
- $HOME/Library/LaunchAgents/SoftwareSync.plist
- $HOME/Library/LaunchAgents/Main.class
Задната врата може да се използва за вмъкване на бекдорт код в разработвания от разработчика код, организиране на изтичане на код от проприетарни системи, кражба на конфиденциални данни и завладяване на акаунти. Изследователи от GitHub не изключват, че злонамерената дейност не е ограничена до NetBeans и че могат да съществуват и други версии на Octopus Scanner, внедряващи се за разпространение в процеса на изграждане на базата на Make, MsBuild, Gradle и други системи.
Имената на засегнатите проекти не са споменати, но лесно могат да се намерят чрез търсене в GitHub по маската «cache.dat». Сред проектите, в които са открити следи от злонамерена активност, са: , , , , , , , , , , , , .
Източник: opennet.ru
