Schadhafter Code, der NetBeans angreift, um Backdoors in gesammelten Projekten zu implementieren

GitHub identifiziert Schadhafter Code, der Projekte in der integrierten Entwicklungsumgebung NetBeans angreift und den Build-Prozess für seine Verbreitung nutzt. Die Untersuchung ergab, dass mithilfe der betrachteten Malware, die den Namen Octopus Scanner trägt, Backdoors in 26 Open-Source-Projekte, die Repositories auf GitHub haben, heimlich integriert wurden. Die ersten Spuren des Auftretens des Octopus Scanners datieren auf August 2018.

Die Malware ist in der Lage, Dateien mit NetBeans-Projekten zu identifizieren und ihren Code in die Projektdateien und die erstellten JAR-Dateien einzufügen. Der Arbeitsalgorithmus besteht darin, das NetBeans-Verzeichnis mit den Benutzerprojekten zu finden, alle Projekte in diesem Verzeichnis zu durchlaufen, das schadhafte Skript in nbproject/cache.dat einzufügen und Änderungen an der Datei nbproject/build-impl.xml vorzunehmen, um dieses Skript bei jedem Build des Projekts auszuführen. Bei der Erstellung wird eine Kopie der Malware in die endgültigen JAR-Dateien eingefügt, die zur weiteren Verbreitung dienen. Beispielsweise wurden die schadhaften Dateien in den Repositories der oben genannten 26 Open-Source-Projekte sowie in verschiedenen anderen Projekten bei der Veröffentlichung von neuen Release-Bauten platziert.

Wenn ein anderer Benutzer die infizierte JAR-Datei herunterlädt und ausführt, beginnt auf seinem System ein weiterer Zyklus der Suche nach NetBeans und des Einfügens von schadhafter Software, was dem Arbeitsmodell selbstverbreitender Computerviren entspricht. Neben der Funktionalität zur Selbstverbreitung enthält der schadhafte Code auch Backdoor-Funktionen, um Fernzugriff auf das System zu gewähren. Zum Zeitpunkt der Analyse des Vorfalls waren die Steuerungsserver (C&C) der Backdoor nicht aktiv.

Insgesamt wurden bei der Untersuchung der betroffenen Projekte 4 Varianten der Infektion identifiziert. In einer Variante wurde für die Aktivierung der Backdoor unter Linux eine Autostartdatei " $HOME/.config/autostart/octo.desktop" erstellt, während unter Windows zur Ausführung die Jobverteilung über schtasks verwendet wurde. Unter den anderen erstellten Dateien sind:

• $HOME/.local/share/bbauto
• $HOME/.config/autostart/none.desktop
• $HOME/.config/autostart/.desktop
• $HOME/.local/share/Main.class
• $HOME/Library/LaunchAgents/AutoUpdater.dat
• $HOME/Library/LaunchAgents/AutoUpdater.plist
• $HOME/Library/LaunchAgents/SoftwareSync.plist
• $HOME/Library/LaunchAgents/Main.class

Der Backdoor könnte verwendet werden, um Lesezeichen zu in den entwickelten Code des Entwicklers hinzuzufügen, Code von proprietären Systemen abzugreifen, vertrauliche Daten zu stehlen und Konten zu übernehmen. Forscher von GitHub schließen nicht aus, dass die böswillige Aktivität nicht auf NetBeans beschränkt ist und es andere Varianten von Octopus Scanner geben könnte, die sich in den Build-Prozess von Make, MsBuild, Gradle und anderen Systemen einschleusen.

Die Namen der betroffenen Projekte werden nicht erwähnt, können aber leicht gefunden werden durch eine Suche auf GitHub mit der Maske „cache.dat“. Unter den Projekten, in denen Spuren bösartiger Aktivitäten gefunden wurden, sind: V2Mp3Player, JavaPacman, Kosim-Framework, Punto-de-venta, 2D-Physics-Simulations, PacmanGame, GuessTheAnimal, SnakeCenterBox4, Secuencia-Numerica, CallCenter, ProyectoGerundio, pacman-java_ia, SuperMario-FR-.

Quelle: opennet.ru