תוכנה זדונית שתוקפת את NetBeans כדי להחדיר דלתות אחוריות לפרויקטים בנויים

GitHub מזוהה תוכנה זדונית שתוקפת פרויקטים ב-NetBeans IDE ומשתמשת בתהליך הבנייה כדי להפיץ את עצמה. החקירה הראתה ששימוש בתוכנה הזדונית המדוברת, שקיבלה את השם Octopus Scanner, דלתות אחוריות שולבו באופן סמוי ב-26 פרויקטים פתוחים עם מאגרים ב-GitHub. העקבות הראשונים של ביטוי סורק התמנון מתוארכים לאוגוסט 2018.

התוכנה הזדונית מסוגלת לזהות קבצי פרויקט NetBeans ולהוסיף את הקוד שלה לקבצי הפרויקט ולקבצי JAR המהידורים. אלגוריתם העבודה מסתכם במציאת ספריית NetBeans עם הפרויקטים של המשתמש, ספירת כל הפרויקטים בספרייה זו, העתקת הסקריפט הזדוני אל nbproject/cache.dat וביצוע שינויים בקובץ nbproject/build-impl.xml לקרוא לסקריפט הזה בכל פעם שהפרויקט נבנה. לאחר ההרכבה, עותק של התוכנה הזדונית נכלל בקובצי ה-JAR המתקבלים, שהופכים למקור להפצה נוספת. לדוגמה, קבצים זדוניים פורסמו למאגרים של 26 פרויקטי הקוד הפתוח שהוזכרו לעיל, כמו גם פרויקטים שונים אחרים בעת פרסום בנייה של מהדורות חדשות.

כאשר קובץ ה-JAR הנגוע הורד והושק על ידי משתמש אחר, החל מחזור נוסף של חיפוש NetBeans והחדרת קוד זדוני במערכת שלו, התואם למודל ההפעלה של וירוסי מחשב המתפשטים בעצמם. בנוסף לפונקציונליות ההפצה העצמית, הקוד הזדוני כולל גם פונקציונליות של דלת אחורית כדי לספק גישה מרחוק למערכת. בזמן התקרית, שרתי בקרת הדלת האחורית (C&C) לא היו פעילים.

בסך הכל, בעת לימוד הפרויקטים המושפעים, זוהו 4 גרסאות של זיהום. באחת האפשרויות, להפעלת הדלת האחורית בלינוקס, נוצר קובץ הפעלה אוטומטית "$HOME/.config/autostart/octo.desktop", וב-Windows הושקו משימות באמצעות schtasks כדי להפעיל אותו. קבצים אחרים שנוצרו כוללים:

• $HOME/.local/share/bbauto
• $HOME/.config/autostart/none.desktop
• $HOME/.config/autostart/.desktop
• $HOME/.local/share/Main.class
• $HOME/Library/LaunchAgents/AutoUpdater.dat
• $HOME/Library/LaunchAgents/AutoUpdater.plist
• $HOME/Library/LaunchAgents/SoftwareSync.plist
• $HOME/Library/LaunchAgents/Main.class

ניתן להשתמש בדלת האחורית כדי להוסיף סימניות לקוד שפיתח המפתח, להדליף קוד של מערכות קנייניות, לגנוב נתונים סודיים ולהשתלט על חשבונות. חוקרים מ-GitHub אינם שוללים שפעילות זדונית אינה מוגבלת ל-NetBeans וייתכנו גרסאות אחרות של Octopus Scanner המוטמעות בתהליך הבנייה המבוססות על Make, MsBuild, Gradle ומערכות אחרות כדי להפיץ את עצמן.

שמות הפרויקטים המושפעים אינם מוזכרים, אך הם יכולים בקלות להיות למצוא באמצעות חיפוש ב-GitHub באמצעות מסכת "cache.dat". בין הפרויקטים שבהם נמצאו עקבות של פעילות זדונית: נגן V2Mp3, JavaPacman, Kosim-Framework, פונטו דה ונטה, 2D-Physics-Simulations, PacmanGame, GuessTheAnimal, SnakeCenterBox4, Secuencia Numerica, מרכז שירות, ProyectoGerundio, pacman-java_ia, SuperMario-FR-.

מקור: OpenNet.ru