Schadhafter Code, der NetBeans angreift, um Backdoors in kompilierte Projekte einzuführen.

GitHub entdeckte Eine Schadsoftware, die Projekte in der integrierten Entwicklungsumgebung NetBeans angreift und den Build-Prozess zu ihrem eigenen Zweck nutzt. Ermittlungen haben ergeben, dass die als Octopus Scanner bezeichnete Malware in 26 Open-Source-Projekte, die Repositories auf GitHub haben, heimlich Backdoors integriert hat. Die ersten Spuren des Octopus Scanners wurden im August 2018 entdeckt.

Die Malware ist in der Lage, Dateien mit NetBeans-Projekten zu identifizieren und ihren Code in die Projektdateien sowie in die erstellten JAR-Dateien einzufügen. Der Algorithmus beruht darauf, das NetBeans-Verzeichnis mit den Benutzerprojekten zu finden, alle Projekte in diesem Verzeichnis zu durchlaufen und das bösartige Skript in nbproject/cache.dat einzufügen und Änderungen an der Datei nbproject/build-impl.xml vorzunehmen, um dieses Skript bei jedem Build des Projekts aufzurufen. Während des Build-Prozesses wird eine Kopie der Schadsoftware in die resultierenden JAR-Dateien aufgenommen, die dann als Quelle für eine weitere Verbreitung dienen. Beispielsweise wurden schadhafte Dateien in den Repositories der oben genannten 26 Open-Source-Projekte sowie in verschiedenen anderen Projekten beim Veröffentlichen neuer Releases bereitgestellt.

Beim Laden und Ausführen der betroffenen JAR-Datei durch einen anderen Benutzer begann auf dessen System ein neuer Zyklus der NetBeans-Suche und des Einfügens von schädlichem Code, was dem Verhalten von selbstverbreitenden Computer-Viren entspricht. Neben der Funktionalität zur Selbstverbreitung enthält der schädliche Code auch Backdoor-Funktionen, um den Fernzugriff auf das System zu ermöglichen. Zum Zeitpunkt der Untersuchung des Vorfalls waren die Server, die die Backdoors verwalten (C&C), nicht aktiv.

Insgesamt wurden bei der Untersuchung der betroffenen Projekte 4 Varianten der Infektion identifiziert. In einer der Varianten wurde zur Aktivierung der Backdoor unter Linux eine Autostart-Datei „$HOME/.config/autostart/octo.desktop“ erstellt, während unter Windows die Aufgabenplanung (schtasks) verwendet wurde. Unter den anderen erstellten Dateien sind:

• $HOME/.local/share/bbauto
• $HOME/.config/autostart/none.desktop
• $HOME/.config/autostart/.desktop
• $HOME/.local/share/Main.class
• $HOME/Library/LaunchAgents/AutoUpdater.dat
• $HOME/Library/LaunchAgents/AutoUpdater.plist
• $HOME/Library/LaunchAgents/SoftwareSync.plist
• $HOME/Library/LaunchAgents/Main.class

Der Backdoor könnte verwendet worden sein, um im vom Entwickler bearbeiteten Code Lücken zu hinterlassen, den Quellcode proprietärer Systeme zu organisieren und vertrauliche Daten zu stehlen sowie Konten zu übernehmen. Forscher von GitHub schließen nicht aus, dass die schädlichen Aktivitäten nicht auf NetBeans beschränkt sind und es möglicherweise andere Varianten von Octopus Scanner gibt, die zur Verbreitung in den Build-Prozess auf Basis von Make, MsBuild, Gradle und anderen Systemen eingeschleust werden.

Die Namen der betroffenen Projekte werden nicht erwähnt, können jedoch leicht gefunden werden, indem man in GitHub nach dem Muster „cache.dat“ sucht. Unter den Projekten, in denen Spuren schädlicher Aktivitäten gefunden wurden, sind: V2Mp3Player, JavaPacman, Kosim-Framework, Punto-de-venta, 2D-Physics-Simulations, PacmanGame, GuessTheAnimal, SnakeCenterBox4, Secuencia-Numerica, CallCenter, ProyectoGerundio, pacman-java_ia, SuperMario-FR-.

Quelle: opennet.ru