बिल्ट प्रोजेक्टमध्ये बॅकडोअर इंजेक्ट करण्यासाठी NetBeans वर हल्ला करणारे मालवेअर

GitHub ओळखले मालवेअर जो NetBeans IDE मधील प्रकल्पांवर हल्ला करतो आणि स्वतःचा प्रसार करण्यासाठी बिल्ड प्रक्रियेचा वापर करतो. तपासणीत असे दिसून आले की प्रश्नातील मालवेअरचा वापर करून, ज्याला ऑक्टोपस स्कॅनर असे नाव देण्यात आले होते, बॅकडोअर्स गुप्तपणे GitHub वरील रिपॉझिटरीजसह 26 ओपन प्रोजेक्टमध्ये एकत्रित केले गेले होते. ऑक्टोपस स्कॅनर प्रकटीकरणाचे पहिले ट्रेस ऑगस्ट 2018 च्या आहेत.

मालवेअर NetBeans प्रोजेक्ट फाईल्स ओळखण्यात आणि त्याचा कोड प्रोजेक्ट फाईल्स आणि संकलित JAR फाईल्समध्ये जोडण्यास सक्षम आहे. वर्क अल्गोरिदम वापरकर्त्याच्या प्रकल्पांसह NetBeans निर्देशिका शोधणे, या निर्देशिकेतील सर्व प्रकल्पांची गणना करणे, दुर्भावनापूर्ण स्क्रिप्टची कॉपी करणे यासाठी तयार होते. nbproject/cache.dat आणि फाइलमध्ये बदल करणे nbproject/build-impl.xml प्रत्येक वेळी प्रकल्प बांधला जातो तेव्हा या स्क्रिप्टला कॉल करण्यासाठी. एकत्र केल्यावर, मालवेअरची एक प्रत परिणामी JAR फायलींमध्ये समाविष्ट केली जाते, जी पुढील वितरणाचा स्रोत बनते. उदाहरणार्थ, दुर्भावनापूर्ण फायली वर नमूद केलेल्या 26 ओपन सोर्स प्रोजेक्ट्सच्या रिपॉझिटरीजमध्ये पोस्ट केल्या होत्या, तसेच नवीन रिलीझचे बिल्ड प्रकाशित करताना इतर विविध प्रोजेक्ट्समध्ये.

जेव्हा दुसर्‍या वापरकर्त्याने संक्रमित JAR फाइल डाउनलोड केली आणि लॉन्च केली, तेव्हा त्याच्या सिस्टमवर NetBeans शोधण्याचे आणि दुर्भावनापूर्ण कोड सादर करण्याचे दुसरे चक्र सुरू झाले, जे स्वयं-प्रसारित संगणक व्हायरसच्या ऑपरेशनच्या मॉडेलशी संबंधित आहे. स्वयं-प्रसार कार्यक्षमतेव्यतिरिक्त, दुर्भावनायुक्त कोडमध्ये सिस्टमला दूरस्थ प्रवेश प्रदान करण्यासाठी बॅकडोअर कार्यक्षमता देखील समाविष्ट असते. घटनेच्या वेळी, बॅकडोअर कंट्रोल (C&C) सर्व्हर सक्रिय नव्हते.

एकूण, प्रभावित प्रकल्पांचा अभ्यास करताना, संसर्गाचे 4 प्रकार ओळखले गेले. पर्यायांपैकी एकामध्ये, Linux मध्ये बॅकडोअर सक्रिय करण्यासाठी, एक ऑटोस्टार्ट फाइल “$HOME/.config/autostart/octo.desktop” तयार केली गेली आणि Windows मध्ये, ती लाँच करण्यासाठी schtasks द्वारे कार्ये सुरू केली गेली. तयार केलेल्या इतर फायलींमध्ये हे समाविष्ट आहे:

• $HOME/.local/share/bbauto
• $HOME/.config/autostart/none.desktop
• $HOME/.config/autostart/.desktop
• $HOME/.local/share/Main.class
• $HOME/Library/LaunchAgents/AutoUpdater.dat
• $HOME/Library/LaunchAgents/AutoUpdater.plist
• $HOME/Library/LaunchAgents/SoftwareSync.plist
• $HOME/Library/LaunchAgents/Main.class

विकसकाने विकसित केलेल्या कोडमध्ये बुकमार्क जोडण्यासाठी, प्रोप्रायटरी सिस्टमचा कोड लीक करण्यासाठी, गोपनीय डेटा चोरण्यासाठी आणि खाती ताब्यात घेण्यासाठी मागील दरवाजाचा वापर केला जाऊ शकतो. GitHub चे संशोधक हे नाकारत नाहीत की दुर्भावनापूर्ण क्रियाकलाप फक्त NetBeansपुरता मर्यादित नाही आणि ऑक्टोपस स्कॅनरचे इतर प्रकार असू शकतात जे स्वतःचा प्रसार करण्यासाठी Make, MsBuild, Gradle आणि इतर प्रणालींवर आधारित बिल्ड प्रक्रियेमध्ये अंतर्भूत आहेत.

बाधित प्रकल्पांची नावे सांगितली नाहीत, पण ती सहज असू शकतात शोधण्यासाठी "cache.dat" मास्क वापरून GitHub मध्ये शोध. ज्या प्रकल्पांमध्ये दुर्भावनापूर्ण क्रियाकलापांचे ट्रेस आढळले त्यामध्ये: V2Mp3Player, JavaPacman, कोसिम-फ्रेमवर्क, पुंटो डी व्हेंटा, 2D-भौतिकशास्त्र-सिम्युलेशन, पॅकमन गेम, प्राणी अंदाज लावा, SnakeCenterBox4, सिक्वेन्सिया न्यूमेरिका, कॉल सेंटर, प्रोजेक्टो गेरुंडिओ, pacman-java_ia, सुपरमारियो-एफआर-.

स्त्रोत: opennet.ru