GitHub virus informatic care afectează proiectele din mediul integrat de dezvoltare NetBeans și folosește procesul de construire pentru a se răspândi. Investigația a arătat că prin intermediul acestui malware, denumit Octopus Scanner, au fost integrate în mod ascuns backdoor-uri în 26 de proiecte open source, având repositoare pe GitHub. Primele urme ale apariției Octopus Scanner datează din august 2018.
Malware-ul este capabil să identifice fișiere cu proiectele NetBeans și să adauge codul său în fișierele proiectului și în arhivele JAR generate. Algoritmul de funcționare constă în localizarea directorului NetBeans cu proiectele utilizatorului, iterarea tuturor proiectelor din acest director, copierea scenariului malițios în și modificarea fișierului pentru a apela acest scenariu la fiecare construcție a proiectului. La compilare, o clonă a malware-ului este inclusă în fișierele JAR rezultate, care devin surse ale unei noi răspândiri. De exemplu, fișiere malițioase au fost găsite în repositoarele celor 26 de proiecte open source menționate, precum și în diverse alte proiecte la publicarea construcțiilor noilor versiuni.
Atunci când un utilizator altul descarcă și rulează fișierul JAR infectat, pe sistemul său începea un nou ciclu de căutare a NetBeans și de implantare a codului malițios, ceea ce corespunde modelelor de lucru ale virusurilor informatice auto-replicante. Pe lângă funcționalitatea de auto-replicare, codul malițios include și funcții de backdoor pentru a oferi acces de la distanță la sistem. La momentul analizei incidentului, serverele de comandă și control (C&C) pentru backdoor nu erau active.
În total, în studiul proiectelor afectate au fost identificate 4 variante de infectare. Într-o variantă, pentru activarea backdoor-ului în Linux se crează un fișier de autostart „$HOME/.config/autostart/octo.desktop”, iar în Windows se folosește programarea sarcinilor prin schtasks. Printre celelalte fișiere create se numără:
- $HOME/.local/share/bbauto
- $HOME/.config/autostart/none.desktop
- $HOME/.config/autostart/.desktop
- $HOME/.local/share/Main.class
- $HOME/Library/LaunchAgents/AutoUpdater.dat
- $HOME/Library/LaunchAgents/AutoUpdater.plist
- $HOME/Library/LaunchAgents/SoftwareSync.plist
- $HOME/Library/LaunchAgents/Main.class
Backdoor-ul putea fi folosit pentru a adăuga bookmark-uri în codul dezvoltat de dezvoltator, pentru a organiza scurgeri de cod ale sistemelor proprietare, pentru a fura date confidențiale și pentru a captura conturi. Cercetătorii de la GitHub nu exclud faptul că activitățile malițioase nu se limitează la NetBeans și că pot exista alte variante ale Octopus Scanner, încorporate pentru a-și răspândi în procesul de construire bazat pe Make, MsBuild, Gradle și alte sisteme.
Numele proiectelor afectate nu este menționat, dar este ușor să prin căutare pe GitHub după masca „cache.dat”. Printre proiectele în care s-au găsit urme de activitate malițioasă se numără: , , , , , , , , , , , , .
Sursa: opennet.ro
