მავნე პროგრამა, რომელიც თავს დაესხმება NetBeans-ს, რათა ჩაუნერგოს უკანა კარები ჩაშენებულ პროექტებში

GitHub გამოვლენილი მავნე პროგრამა, რომელიც უტევს პროექტებს NetBeans IDE-ში და იყენებს მშენებლობის პროცესს საკუთარი თავის გასავრცელებლად. გამოძიებამ აჩვენა, რომ მავნე პროგრამის გამოყენებით, რომელსაც ეწოდა Octopus Scanner, უკანა კარები ფარულად იყო ინტეგრირებული 26 ღია პროექტში GitHub-ის საცავებით. რვაფეხას სკანერის მანიფესტაციის პირველი კვალი თარიღდება 2018 წლის აგვისტოში.

მავნე პროგრამას შეუძლია NetBeans პროექტის ფაილების იდენტიფიცირება და მისი კოდის დამატება პროექტის ფაილებსა და შედგენილ JAR ფაილებში. მუშაობის ალგორითმი მთავრდება მომხმარებლის პროექტებით NetBeans დირექტორიას პოვნაზე, ამ დირექტორიაში არსებული ყველა პროექტის ჩამოთვლაზე, მავნე სკრიპტის კოპირებაზე. nbproject/cache.dat და შეიტანეთ ცვლილებები ფაილში nbproject/build-impl.xml ამ სკრიპტის დარეკვა ყოველ ჯერზე, როცა პროექტი აშენდება. როდესაც აწყობილია, მავნე პროგრამის ასლი შედის JAR ფაილებში, რომლებიც შემდგომი გავრცელების წყარო ხდება. მაგალითად, მავნე ფაილები განთავსდა ზემოაღნიშნული 26 ღია კოდის პროექტის საცავებში, ასევე სხვადასხვა სხვა პროექტებში ახალი რელიზების ბილდების გამოქვეყნებისას.

როდესაც ინფიცირებული JAR ფაილი ჩამოიტვირთა და გაუშვა სხვა მომხმარებლის მიერ, მის სისტემაში დაიწყო NetBeans-ის ძიების და მავნე კოდის შემოღების მორიგი ციკლი, რომელიც შეესაბამება თვითგავრცელების კომპიუტერული ვირუსების ოპერაციულ მოდელს. გარდა თვითგავრცელების ფუნქციისა, მავნე კოდი ასევე შეიცავს უკანა კარის ფუნქციონირებას სისტემაში დისტანციური წვდომის უზრუნველსაყოფად. ინციდენტის დროს უკანა კარის კონტროლის (C&C) სერვერები არ იყო აქტიური.

მთლიანობაში, დაზარალებული პროექტების შესწავლისას, გამოვლინდა ინფექციის 4 ვარიანტი. ერთ-ერთ ვარიანტში, Linux-ში backdoor-ის გასააქტიურებლად, შეიქმნა ავტომატური დაწყების ფაილი “$HOME/.config/autostart/octo.desktop”, ხოლო Windows-ში ამოცანები გაშვებული იყო schtasks-ის საშუალებით მის გასაშვებად. სხვა შექმნილი ფაილები მოიცავს:

• $HOME/.local/share/bbauto
• $HOME/.config/autostart/none.desktop
• $HOME/.config/autostart/.desktop
• $HOME/.local/share/Main.class
• $HOME/Library/LaunchAgents/AutoUpdater.dat
• $HOME/Library/LaunchAgents/AutoUpdater.plist
• $HOME/Library/LaunchAgents/SoftwareSync.plist
• $HOME/Library/LaunchAgents/Main.class

Backdoor შეიძლება გამოყენებულ იქნას დეველოპერის მიერ შემუშავებულ კოდში სანიშნეების დასამატებლად, საკუთრების სისტემების კოდის გაჟონვის, კონფიდენციალური მონაცემების მოსაპარად და ანგარიშების დასაუფლებლად. GitHub-ის მკვლევარები არ გამორიცხავენ, რომ მავნე აქტივობა არ შემოიფარგლება მხოლოდ NetBeans-ით და შესაძლოა არსებობდეს Octopus Scanner-ის სხვა ვარიანტები, რომლებიც ჩართულია Make, MsBuild, Gradle და სხვა სისტემებზე დაფუძნებული build-ის პროცესში.

დაზარალებული პროექტების სახელები არ არის ნახსენები, მაგრამ ისინი ადვილად შეიძლება იყოს იპოვოს GitHub-ში ძიების საშუალებით „cache.dat“ ნიღბის გამოყენებით. პროექტებს შორის, რომლებშიც მავნე მოქმედების კვალი აღმოაჩინეს: V2Mp3Player, JavaPacman, Kosim-Framework, პუნტო დე ვენტა, 2D-ფიზიკა-სიმულაციები, PacmanGame, GuessTheAnimal, SnakeCenterBox4, Secuencia Numerica, Ქოლ ცენტრი, ProyectoGerundio, pacman-java_ia, SuperMario-FR-.

წყარო: opennet.ru