NetBeans를 공격하여 빌드된 프로젝트에 백도어를 삽입하는 악성 코드

GitHub의 식별 NetBeans IDE의 프로젝트를 공격하고 빌드 프로세스를 사용하여 확산되는 악성 코드입니다. 조사 결과, Octopus Scanner라는 이름의 문제의 악성 코드를 사용하여 백도어가 GitHub의 저장소가 있는 26개의 공개 프로젝트에 은밀하게 통합된 것으로 나타났습니다. Octopus Scanner가 처음으로 나타난 흔적은 2018년 XNUMX월로 거슬러 올라갑니다.

이 악성코드는 NetBeans 프로젝트 파일을 식별하고 해당 코드를 프로젝트 파일 및 컴파일된 JAR 파일에 추가할 수 있습니다. 작업 알고리즘은 사용자 프로젝트가 포함된 NetBeans 디렉터리를 찾고, 이 디렉터리의 모든 프로젝트를 열거하고, 악성 스크립트를 nbproject/cache.dat 그리고 파일을 변경하면 nbproject/build-impl.xml 프로젝트가 빌드될 때마다 이 스크립트를 호출합니다. 조합되면 악성 코드의 복사본이 결과 JAR 파일에 포함되어 추가 배포 소스가 됩니다. 예를 들어, 새로운 릴리스의 빌드를 게시할 때 위에서 언급한 26개의 오픈 소스 프로젝트와 다양한 다른 프로젝트의 리포지토리에 악성 파일이 게시되었습니다.

다른 사용자가 감염된 JAR 파일을 다운로드하여 실행하면 NetBeans를 검색하고 악성 코드를 도입하는 또 다른주기가 그의 시스템에서 시작되었습니다. 이는 자체 전파 컴퓨터 바이러스의 운영 모델에 해당합니다. 자체 전파 기능 외에도 악성 코드에는 시스템에 대한 원격 액세스를 제공하는 백도어 기능도 포함되어 있습니다. 사건 당시 백도어통제(C&C) 서버는 활성화되지 않은 상태였다.

영향을 받은 프로젝트를 연구한 결과 전체적으로 4가지 감염 변종이 확인되었습니다. 옵션 중 하나는 Linux에서 백도어를 활성화하기 위해 자동 시작 파일 “$HOME/.config/autostart/octo.desktop”을 생성했고 Windows에서는 schtasks를 통해 작업을 시작하여 이를 시작했습니다. 생성된 기타 파일은 다음과 같습니다.

• $HOME/.local/share/bbauto
• $HOME/.config/autostart/none.desktop
• $HOME/.config/autostart/.desktop
• $HOME/.local/share/Main.class
• $HOME/라이브러리/LaunchAgents/AutoUpdater.dat
• $HOME/라이브러리/LaunchAgents/AutoUpdater.plist
• $HOME/라이브러리/LaunchAgents/SoftwareSync.plist
• $HOME/라이브러리/LaunchAgents/Main.class

백도어는 개발자가 개발한 코드에 북마크를 추가하고, 독점 시스템의 코드를 유출하고, 기밀 데이터를 훔치고, 계정을 탈취하는 데 사용될 수 있습니다. GitHub의 연구원들은 악의적인 활동이 NetBeans에만 국한되지 않으며 Make, MsBuild, Gradle 및 기타 시스템을 기반으로 하는 빌드 프로세스에 내장되어 확산되는 다른 Octopus Scanner 변종이 있을 수 있다는 점을 배제하지 않습니다.

영향을 받는 프로젝트의 이름은 언급되지 않지만 쉽게 알 수 있습니다. 발견 "cache.dat" 마스크를 사용하여 GitHub에서 검색을 통해 악의적인 활동의 흔적이 발견된 프로젝트 중: V2Mp3Player, 자바팩맨, Kosim 프레임워크, 푼토 데 벤타, 2D-물리-시뮬레이션, 팩맨게임, 추측The동물, SnakeCenterBox4, 시쿠엔시아 누메리카, 콜센터, ProyectoGerundio, 팩맨-java_ia, 슈퍼마리오-FR-.

출처 : opennet.ru