GitHub skadelig software, der angriber projekter i udviklingsmiljøet NetBeans og bruger byggeprocessen til at sprede sig. Undersøgelsen har vist, at ved hjælp af den omtalte skadelige software, der fik navnet Octopus Scanner, er der blevet skjult integreret bagdøre i 26 åbne projekter, der har repositories på GitHub. De første spor af Octopus Scanner dateres til august 2018.
Den skadelige software er i stand til at finde filer med NetBeans-projekter og tilføje sin kode til projektfilerne og de genererede JAR-filer. Algoritmen går ud på at finde NetBeans-mappen med brugerens projekter, gennemgå alle projekter i denne mappe og kopiere det skadelige script til og foretage ændringer i filen for at kalde dette script ved hver kompilering af projektet. Ved kompileringen inkluderes en kopi af den skadelige software i de resulterende JAR-filer, som bliver kilden til videre spredning. For eksempel blev de skadelige filer offentliggjort i repositories for de nævnte 26 åbne projekter samt af andre forskellige projekter ved offentliggørelse af nye versioner.
Når en inficeret JAR-fil blev downloadet og kørt af en anden bruger, blev der startet et nyt søge- og injektionscyklus for NetBeans og det skadelige kode, hvilket svarer til driftsmodellen for selvspredende computervirus. Udover funktionaliteten til selvspredning indeholder den skadelige kode også backdoor-funktioner for at give fjernadgang til systemet. På tidspunktet for undersøgelsen var de servere, der styrede backdoorene (C&C), ikke aktive.
I alt blev der identificeret 4 forskellige infektionsmetoder, da de ramte projekter blev undersøgt. I en af metoderne blev der oprettet en autostart-fil «$HOME/.config/autostart/octo.desktop» til aktivering af bagdøren i Linux, mens der i Windows blev brugt opgavekørsel via schtasks. Blandt de andre oprettede filer var:
- $HOME/.local/share/bbauto
- $HOME/.config/autostart/none.desktop
- $HOME/.config/autostart/.desktop
- $HOME/.local/share/Main.class
- $HOME/Library/LaunchAgents/AutoUpdater.dat
- $HOME/Library/LaunchAgents/AutoUpdater.plist
- $HOME/Library/LaunchAgents/SoftwareSync.plist
- $HOME/Library/LaunchAgents/Main.class
Backdoor kan have været brugt til at tilføje bookmarks til kode udviklet af udvikleren, organisere lækager af proprietær systems kode, stjæle følsomme data og overtage konti. Forskere fra GitHub udelukker ikke, at den skadelige aktivitet ikke kun er begrænset til NetBeans og at der kan eksistere andre versioner af Octopus Scanner, som infiltrerer byggeprocessen baseret på Make, MsBuild, Gradle og andre systemer.
Navnene på de berørte projekter nævnes ikke, men de kan nemt gennem søgning på GitHub ved hjælp af masken «cache.dat». Blandt projekterne, hvor der er fundet spor af skadelig aktivitet: , , , , , , , , , , , , .
Kilde: opennet.ru
