Злонамерен софтуер, който атакува NetBeans, за да инжектира задни врати в изградени проекти

GitHub идентифицирани Злонамерен софтуер, който атакува проекти в IDE на NetBeans и използва процеса на изграждане, за да се разпространи. Разследването показа, че с помощта на въпросния зловреден софтуер, който получи името Octopus Scanner, задните врати са били тайно интегрирани в 26 отворени проекта с хранилища в GitHub. Първите следи от проявата на Octopus Scanner са от август 2018 г.

Зловреден софтуер е в състояние да идентифицира файловете на проекта NetBeans и да добави кода си към файловете на проекта и компилираните JAR файлове. Алгоритъмът на работа се свежда до намиране на директорията на NetBeans с проектите на потребителя, изброяване на всички проекти в тази директория, копиране на злонамерения скрипт в nbproject/cache.dat и извършване на промени във файла nbproject/build-impl.xml за извикване на този скрипт всеки път, когато проектът е изграден. Когато се сглоби, копие на зловреден софтуер се включва в получените JAR файлове, които стават източник за по-нататъшно разпространение. Например, злонамерени файлове бяха публикувани в хранилищата на гореспоменатите 26 проекта с отворен код, както и различни други проекти при публикуване на компилации на нови версии.

Когато заразеният JAR файл беше изтеглен и стартиран от друг потребител, в неговата система започна нов цикъл на търсене на NetBeans и въвеждане на зловреден код, което съответства на операционния модел на саморазпространяващите се компютърни вируси. В допълнение към функционалността за саморазпространение, злонамереният код включва и функционалност за задната врата за осигуряване на отдалечен достъп до системата. По време на инцидента сървърите за управление на задната врата (C&C) не са били активни.

Общо при проучване на засегнатите проекти бяха идентифицирани 4 варианта на инфекция. В една от опциите за активиране на задната врата в Linux беше създаден файл за автоматично стартиране „$HOME/.config/autostart/octo.desktop“, а в Windows се стартираха задачи чрез schtasks, за да го стартират. Други създадени файлове включват:

• $HOME/.local/share/bbauto
• $HOME/.config/autostart/none.desktop
• $HOME/.config/autostart/.desktop
• $HOME/.local/share/Main.class
• $HOME/Library/LaunchAgents/AutoUpdater.dat
• $HOME/Library/LaunchAgents/AutoUpdater.plist
• $HOME/Library/LaunchAgents/SoftwareSync.plist
• $HOME/Library/LaunchAgents/Main.class

Задната врата може да се използва за добавяне на отметки към кода, разработен от разработчика, изтичане на код на патентовани системи, кражба на поверителни данни и превземане на акаунти. Изследователи от GitHub не изключват, че злонамерената дейност не е ограничена до NetBeans и може да има други варианти на Octopus Scanner, които са вградени в процеса на изграждане на базата на Make, MsBuild, Gradle и други системи, за да се разпространяват сами.

Имената на засегнатите проекти не се споменават, но спокойно могат да бъдат намирам чрез търсене в GitHub с помощта на маската „cache.dat“. Сред проектите, в които са открити следи от злонамерена дейност: V2Mp3Player, JavaPacman, Kosim-Framework, Пунто де Вента, 2D-Физика-Симулации, PacmanGame, GuessTheAnimal, SnakeCenterBox4, Секуенция Нумерика, Кол център, ПроектоГерундио, pacman-java_ia, SuperMario-FR-.

Източник: opennet.ru