Malware ដែលវាយប្រហារ NetBeans ដើម្បីចាក់ backdoors ទៅក្នុងគម្រោងដែលបានសាងសង់

GitHub បានកំណត់អត្តសញ្ញាណ Malware ដែលវាយប្រហារលើគម្រោងក្នុង NetBeans IDE និងប្រើប្រាស់ដំណើរការសាងសង់ដើម្បីផ្សព្វផ្សាយខ្លួនឯង។ ការស៊ើបអង្កេតបានបង្ហាញថាការប្រើប្រាស់មេរោគនៅក្នុងសំណួរដែលត្រូវបានដាក់ឈ្មោះថា Octopus Scanner ទ្វារខាងក្រោយត្រូវបានដាក់បញ្ចូលទៅក្នុងគម្រោងបើកចំហចំនួន 26 ជាមួយនឹងឃ្លាំងនៅលើ GitHub ។ ដានដំបូងនៃការបង្ហាញ Octopus Scanner មានកាលបរិច្ឆេទត្រឡប់ទៅខែសីហា 2018 ។

មេរោគអាចកំណត់អត្តសញ្ញាណឯកសារគម្រោង NetBeans និងបន្ថែមកូដរបស់វាទៅក្នុងឯកសារគម្រោង និងចងក្រងឯកសារ JAR ។ ក្បួនដោះស្រាយការងារចាប់ផ្តើមដំណើរការទៅរកការស្វែងរកថត NetBeans ជាមួយនឹងគម្រោងរបស់អ្នកប្រើប្រាស់ ដោយរាប់បញ្ចូលគម្រោងទាំងអស់នៅក្នុងថតនេះ ចម្លងស្គ្រីបព្យាបាទទៅ nbproject/cache.dat និងធ្វើការផ្លាស់ប្តូរឯកសារ nbproject/build-impl.xml ដើម្បីហៅស្គ្រីបនេះរាល់ពេលដែលគម្រោងត្រូវបានសាងសង់។ នៅពេលប្រមូលផ្តុំ ច្បាប់ចម្លងនៃមេរោគត្រូវបានរួមបញ្ចូលនៅក្នុងឯកសារ JAR លទ្ធផល ដែលក្លាយជាប្រភពនៃការចែកចាយបន្ថែម។ ជាឧទាហរណ៍ ឯកសារព្យាបាទត្រូវបានបង្ហោះទៅក្នុងឃ្លាំងនៃគម្រោងប្រភពបើកចំហចំនួន 26 ដែលបានរៀបរាប់ខាងលើ ក៏ដូចជាគម្រោងផ្សេងៗជាច្រើនទៀត នៅពេលបោះពុម្ពផ្សាយការចេញផ្សាយថ្មីៗ។

នៅពេលដែលឯកសារ JAR ដែលមានមេរោគត្រូវបានទាញយក និងបើកដំណើរការដោយអ្នកប្រើប្រាស់ផ្សេងទៀត វដ្តមួយផ្សេងទៀតនៃការស្វែងរក NetBeans និងការណែនាំកូដព្យាបាទបានចាប់ផ្តើមនៅលើប្រព័ន្ធរបស់គាត់ ដែលត្រូវនឹងគំរូប្រតិបត្តិការនៃមេរោគកុំព្យូទ័រដែលចម្លងដោយខ្លួនឯង។ បន្ថែមពីលើមុខងារផ្សព្វផ្សាយដោយខ្លួនឯង កូដព្យាបាទក៏រួមបញ្ចូលមុខងារ backdoor ដើម្បីផ្តល់ការចូលប្រើពីចម្ងាយទៅកាន់ប្រព័ន្ធផងដែរ។ នៅ​ពេល​កើតហេតុ ម៉ាស៊ីនមេ​គ្រប់គ្រង​ទ្វារ​ខាងក្រោយ (C&C) មិន​សកម្ម​ទេ។

សរុបមក នៅពេលសិក្សាគម្រោងដែលរងផលប៉ះពាល់ វ៉ារ្យ៉ង់នៃការឆ្លងចំនួន ៤ ត្រូវបានកំណត់អត្តសញ្ញាណ។ នៅក្នុងជម្រើសមួយក្នុងចំណោមជម្រើស ដើម្បីធ្វើឱ្យ backdoor នៅក្នុង Linux ឯកសារ autostart “$HOME/.config/autostart/octo.desktop” ត្រូវបានបង្កើតឡើង ហើយនៅក្នុង Windows កិច្ចការត្រូវបានចាប់ផ្តើមតាមរយៈ schtasks ដើម្បីចាប់ផ្តើមវា។ ឯកសារផ្សេងទៀតដែលបានបង្កើតរួមមាន:

• $HOME/.local/share/bbauto
• $HOME/.config/autostart/none.desktop
• $HOME/.config/autostart/.desktop
• $HOME/.local/share/Main.class
• $HOME/Library/LaunchAgents/AutoUpdater.dat
• $HOME/Library/LaunchAgents/AutoUpdater.plist
• $HOME/Library/LaunchAgents/SoftwareSync.plist
• $HOME/Library/LaunchAgents/Main.class

Backdoor អាចត្រូវបានប្រើដើម្បីបន្ថែមចំណាំទៅកូដដែលបង្កើតឡើងដោយអ្នកអភិវឌ្ឍន៍ លេខកូដលេចធ្លាយនៃប្រព័ន្ធកម្មសិទ្ធិ លួចទិន្នន័យសម្ងាត់ និងកាន់កាប់គណនី។ អ្នកស្រាវជ្រាវមកពី GitHub មិនច្រានចោលថាសកម្មភាពព្យាបាទមិនត្រូវបានកំណត់ចំពោះ NetBeans ទេ ហើយវាអាចមានកំណែផ្សេងទៀតនៃ Octopus Scanner ដែលត្រូវបានបង្កប់នៅក្នុងដំណើរការសាងសង់ដោយផ្អែកលើ Make, MsBuild, Gradle និងប្រព័ន្ធផ្សេងទៀតដើម្បីផ្សព្វផ្សាយខ្លួនឯង។

ឈ្មោះ​គម្រោង​ដែល​ទទួល​រង​ផល​ប៉ះពាល់​មិន​ត្រូវ​បាន​លើក​ឡើង​ទេ ប៉ុន្តែ​គេ​អាច​មាន​យ៉ាង​ងាយ ដើម្បីរក តាមរយៈការស្វែងរកនៅក្នុង GitHub ដោយប្រើរបាំង "cache.dat" ។ ក្នុង​ចំណោម​គម្រោង​ដែល​មាន​ដាន​នៃ​សកម្មភាព​ព្យាបាទ​ត្រូវ​បាន​រក​ឃើញ៖ អ្នកលេង V2Mp3, JavaPacman, Kosim-ក្របខ័ណ្ឌ, Punto de Venta, 2D-រូបវិទ្យា-ការក្លែងធ្វើ, PacmanGame, ទាយសត្វ, SnakeCenterBox ៤, Secuencia Numerica, មជ្ឈមណ្ឌល​ហៅ​ទូរស័ព្ទ, ProyectoGerundio, pacman-java_ia, SuperMario-FR-.

ប្រភព: opennet.ru