GitHub skadlig programvara som pÄverkar projekt i den integrerade utvecklingsmiljön NetBeans och anvÀnder byggprocessen för spridning. Utredningen visade att denna skadliga programvara, kallad Octopus Scanner, dolde integration av bakdörrar i 26 öppna projekt som har repositories pÄ GitHub. De första spÄren av Octopus Scanner gÄr tillbaka till augusti 2018.
Den skadliga programvaran kan identifiera filer med NetBeans-projekt och lÀgga till sin kod till projektfilerna och de sammanstÀllda JAR-filerna. Arbetsalgoritmen gÄr ut pÄ att hitta katalogen för NetBeans-projekt, iterera genom alla projekt i denna katalog, kopiera skriptet för den skadliga programvaran till och göra Àndringar i filen för att kalla pÄ detta skript vid varje byggnation av projektet. Vid byggnation kommer en kopia av den skadliga programvaran att inkluderas i de resulterande JAR-filerna, vilket blir en kÀlla till ytterligare spridning. Till exempel har skadliga filer publicerats i repositories av de nÀmnda 26 öppna projekten samt av olika andra projekt vid publicering av nya versioner.
Vid nedladdning och körning av den infekterade JAR-filen av en annan anvÀndare, initierades en ny cykel av sökning efter NetBeans och införande av skadlig kod pÄ detta systems, vilket motsvarar modellen för sjÀlvreplicerande datorvirus. Förutom funktionaliteten för sjÀlvreplicering innehÄller den skadliga koden Àven bakdörrsfunktioner för att ge fjÀrrÄtkomst till systemet. Vid tiden för analysen var de kontrollerande serverarna för bakdörren (C&C) inte aktiva.
Totalt upptÀcktes 4 infekteringsvarianter vid studiet av de drabbade projekten. I en av varianterna skapades en autostartfil ">$HOME/.config/autostart/octo.desktop" i Linux för att aktivera bakdörren, medan i Windows anvÀndes schemalÀggning via schtasks för att starta. Bland de andra skapade filerna fanns:
- $HOME/.local/share/bbauto
- $HOME/.config/autostart/none.desktop
- $HOME/.config/autostart/.desktop
- $HOME/.local/share/Main.class
- $HOME/Library/LaunchAgents/AutoUpdater.dat
- $HOME/Library/LaunchAgents/AutoUpdater.plist
- $HOME/Library/LaunchAgents/SoftwareSync.plist
- $HOME/Library/LaunchAgents/Main.class
Bakdörren kan ha anvÀnts för att lÀgga till bokmÀrken i den utvecklade koden, organisera lÀckage av kod frÄn proprietÀra system, stjÀla konfidentiella data och fÄnga konton. Forskare frÄn GitHub utesluter inte att den skadliga aktiviteten inte Àr begrÀnsad till NetBeans och att det kan finnas andra varianter av Octopus Scanner som infiltrerar sig för att spridas i byggprocessen baserad pÄ Make, MsBuild, Gradle och andra system.
Namnen pÄ de drabbade projekten nÀmns inte, men de kan enkelt genom att söka pÄ GitHub med mönstret «cache.dat». Bland projekten dÀr spÄr av skadlig aktivitet har hittats: , , , , , , , , , , , , .
KĂ€lla: opennet.ru
