Denne uge startede med opdagelsen af en trussel kaldet Octopus Scanner, som er fundet i inficerede GitHub-lagre. Det, vi ved, er, at det har luret på skyplatformen i flere uger nu, og det er oprettet af en ukendt hackinggruppe. Malware er blevet opdaget af GitHub-sikkerhedsteamet under en analyse af de hostede projekter. Octopus Scanneren opfattes som en farlig trussel, der er programmeret til primært at implementere sig selv via Apache NetBeans udviklingsmiljø.
Octopus Scanner Malware bruger GitHub som distributionsmedium
GitHub som et af de førende oplagringssteder til udstationering af software og relaterede projekter har vist sig at være vært for en farlig malware, der er kendt som Blæksprutte scanner. Denne virus er oprettet af en ukendt hackinggruppe og er placeret på forskellige oplagringssteder. Målet med de kriminelle grupper er at bruge en taktik baseret på princippet om, at udviklere drager fordel af den offentliggjorte kode og integrerer den i deres egne projekter. I den opdagede angrebskampagne var vægten lagt på brugerne af Apache Netbeans HER (integreret udviklingsmiljø), et af de mest populære værktøjer til oprettelse af Java-applikationer. GitHub-sikkerhedsteamet blev underrettet af en sikkerhedsforsker om mistænkelig kode, der anmodede om en undersøgelse, der førte til opdagelsen af truslen.
Det viste sig, at mange depoter blev infiltreret med denne kode - efter yderligere gennemgang ejere var ikke klar over, at deres kode blev ændret at inkludere malware. Alt dette viser, at det er meget vanskeligt at spore, hvorfra den oprindelige infektion er sket.
Når et arkiv, der indeholder malware-koden, indlæses i NetBeans-softwaren, starter virussen automatisk. De første handlinger vil være relateret til mekanismen til indlejring af bagdøre i projekterne, der åbnes inden for udviklingssoftwaren. Dette gøres via en komponent kaldet a dropper — det er designet til at indlæse hackerfremstillet kode i dem. Når de kompilerede outputfiler kopieres og startes på et givet system, vil de forurenede data starte den relevante dropper som en del af opstartssekvensen. Baggrundskoden vil starte flere farlige handlinger med malware:
- Filer infektion — Malware-koden sikrer, at viruskoden kopieres ind i alle relevante filer. Dette gøres for at fortsætte gentagelsen af truslen.
- Vedvarende installation –Den malware-kode, der vil blive integreret i Java-projekterne, sikrer, at motoren startes, hver gang systemet startes.
- Trojan Horse infektion — Den inkluderede kode vil omfatte RAT-funktionalitet, der gør det muligt for eksterne angribere at have kontrol over de inficerede computere. Dette kan omfatte tyveri og overvågning af filer.
Sikkerhedsanalysen afslørede, at der findes forskellige versioner af Octopus Scanner indtil nu. De forskellige variationer findes i GitHub-oplagrene. Al farlig kode bliver tilsløret, hvilket gør det sværere at opdage. Det vides ikke, om hackerne vil ændre kernekoden for ikke at implementere Octopus Scanner på andre systemkomponenter.
Martin Beltov
Martin dimitterede med en grad i Publishing fra Sofia Universitet. Som en cybersikkerhed entusiast han nyder at skrive om de nyeste trusler og mekanismer indbrud.
Følg mig: