GitHub A kártékony szoftver, amely a NetBeans integrált fejlesztői környezetében lévő projekteket célozza, és a fordítási folyamatot használja a terjesztésére. A nyomozás során kiderült, hogy az Octopus Scanner néven ismert kártékony szoftver rejtett hátsó ajtókat integrált 26 olyan nyílt projektbe, amelyek a GitHub-on találhatók. Az Octopus Scanner első nyoma 2018 augusztusára datálható.
A kártékony szoftver képes azonosítani a NetBeans projekteket tartalmazó fájlokat, és saját kódját hozzáadni a projektfájlokhoz, valamint a létrehozott JAR-fájlokhoz. A működési algoritmus lényege, hogy megkeresi a felhasználó NetBeans projektjeivel foglalkozó könyvtárát, végigmegy az összes projekten ebben a könyvtárban, majd a kártékony szkriptet átmásolja a és módosítja a fájlt hogy ezt a szkriptet minden projekt fordításakor aktiválja. A fordítás során a kártékony szoftver másolata bekerül a kibocsátott JAR-fájlokba, amelyek újabb terjesztési forrássá válnak. Például a kártékony fájlok megjelentek a fent említett 26 nyílt projekt tárolóiban, valamint különböző más projektekben a legújabb verziók kiadása során.
Amikor egy másik felhasználó letölti és futtatja a fertőzött JAR-fájlt, a rendszerén egy újabb ciklus kezdődik, amely a NetBeans keresésére és a kártékony kód integrálására irányul, ami a számítógépes vírusok önterjesztő működési modelljének felel meg. Az önterjesztés funkcionalitása mellett a kártékony kód távoli hozzáférés biztosítására szolgáló hátsó ajtó funkciókat is tartalmaz. Az incidens elemzésekor a hátsó ajtó vezérlő szerverei (C&C) nem voltak aktívak.
Összességében a vizsgált fertőzött projektek során 4 különböző fertőzési módot azonosítottak. Az egyik módszer a hátsó ajtó aktiválására Linux alatt a „$HOME/.config/autostart/octo.desktop” indítófájl létrehozását alkalmazta, míg Windows alatt a feladatok indítása a schtasks használatával történt. A létrehozott többi fájl között szerepelnek:
- $HOME/.local/share/bbauto
- $HOME/.config/autostart/none.desktop
- $HOME/.config/autostart/.desktop
- $HOME/.local/share/Main.class
- $HOME/Library/LaunchAgents/AutoUpdater.dat
- $HOME/Library/LaunchAgents/AutoUpdater.plist
- $HOME/Library/LaunchAgents/SoftwareSync.plist
- $HOME/Library/LaunchAgents/Main.class
A hátsó ajtó arra használható, hogy könyvjelzőket adjon hozzá a fejlesztő által írt kódhoz, megszervezze a tulajdonosi rendszerek kódjának kiszivárgását, ellopja a bizalmas adatokat és megszerezze a fiókokat. A GitHub kutatói nem zárják ki, hogy a rosszindulatú tevékenység nem csupán a NetBeans-ra korlátozódik, és létezhetnek más változatai az Octopus Scanner-nek, amelyek a Make, MsBuild, Gradle és más rendszerek alapú build folyamatokban terjednek.
A támadott projektek nevei nincsenek megemlítve, de könnyen megtalálhatóak a GitHub keresési maskarával: "cache.dat". Azok a projektek, amelyekben rosszindulatú tevékenység nyomait találták: , , , , , , , , , , , , .
Forrás: opennet.ru
