Атака через GitHub: зловреды на службе хакеров

Исследователи из Cisco Talos обнаружили новую сложную операцию по распространению вредоносных программ как услуги (это называют Malware-as-a-Service или MaaS), в которой публичные репозитории GitHub используются для заражения пользователей. Это не банальное фишинговое письмо, каким нас обычно пугают: сегодня злоумышленники осваивают привычные для программистов ресурсы, рассчитывая, что их никто не будет подозревать. GitHub — всемирно популярная площадка для открытого кода и обмена программами, поэтому неудивительно, что он постоянно привлекает внимание различных хакеров и их друзей.

На этот раз хакеры нацелились на организации, в основном из Украины, при помощи двух семейств вредоносных программ: Emmenthal и Amadey. Emmenthal — это модуль, загружающий другие модули, чаще всего все тот же SmokeLoader. По сути, происходит классическая история: один загрузчик подкидывает другому загрузчику. Зачем так сложно? Дело в том, что поэтапная инфекция затрудняет обнаружение и реагирование со стороны специалистов по безопасности.

Emmenthal работает тихо и многоступенчато: он отлично справляется с первоначальным заражением и быстрым уходом от наблюдения. Как только ему удаётся "войти в дом", он подключает SmokeLoader — настоящий швейцарский нож для хакеров, который умеет выполнять множество вредоносных операций после первичного затравливания системы.

Amadey — уже знакомое имя в преступном мире. Его впервые заметили ещё в 2018 году на русскоязычных киберфорумах, где он продавался как универсальный загрузчик и инструмент для сбора информации о системе. Это ботнет, способный распространять любую гадость — от кражи данных до вымогательских программ.

Особенность рассматриваемой атаки — размещение Amadey прямо на GitHub, где он маскировался под MP4-файл или "безобидный" Python-скрипт, вроде checkbalance.py. То есть любопытный разработчик вполне мог оказаться жертвой, даже не подозревая об опасности.

Чтобы защититься от подобных забав, бизнесу рекомендуют не надеяться на авось: применять строгие фильтры для скриптовых вложений, следить за исполнением PowerShell и пересмотреть политику работы с GitHub, если это возможно. Также советуют внедрять так называемую многоуровневую защиту и анализ поведения программ, чтобы быстрее выявлять подозрительные скачивания и запуск вредоносных файлов на целевых машинах.