ყალბი GitHub-რეპოზიტორიები ახალ ინფოსტილერს ავრცელებს

LastPass-მა (LastPass) Delphos Labs-თან (Delphos Labs) თანამშრომლობით ინფოსტილერის ახალი ვარიანტი აღმოაჩინა და მას „Rapuncel“ უწოდა. მავნე პროგრამა მკვლევრებმა არაოფიციალური GitHub-რეპოზიტორიით (GitHub) შენიშნეს, რომელსაც „LastPass Authenticator“ ერქვა. საძიებო სისტემებისთვის ოპტიმიზებული გვერდი მსხვერპლს ინფიცირებული ფაილის ჩამოტვირთვისკენ უბიძგებდა. უსაფრთხოების კომპანიებმა Trend Micro-მ (Trend Micro) და Arctic Wolf-მა (Arctic Wolf) მსგავსი მეთოდის ვარიანტები რამდენიმე თვის წინ აღმოაჩინეს.

სამიზნე სისტემაში გაშვების შემდეგ მავნე პროგრამა 145 ცნობილ ანტივირუსულ პროგრამასა და საბოლოო მოწყობილობებზე საფრთხეების გამოვლენისა და რეაგირების სისტემას თიშავს. შემდეგ ის ბრაუზერებიდან, კრიპტოსაფულეებიდან, Steam-იდან, Discord-იდან, Telegram-იდან და Windows-იდან ავტორიზაციის მონაცემების მოპარვას იწყებს. მავნე კოდი ბირთვის დრაივერს იყენებს, რომელიც DLL-ის გვერდითი ჩატვირთვის გზით Windows-ის ოფიციალური ხელმოწერის მქონე კომპონენტად ინიღბება.

LastPass-მა ინფოსტილერის შესახებ ბლოგში დაწერა, რომ ინფიცირებული GitHub-რეპოზიტორიებისთვის სულ მცირე 40 კომპანიის სახელი გამოიყენეს, თუმცა კომპანიები არ დაუსახელებია. თაღლითები ძიების შედეგებში მაღალი პოზიციების მისაღებად ნამდვილ მომწოდებელთა მსგავს სტრატეგიებს იყენებენ. ოფიციალური ლოგოები და პროდუქტების აღწერილობები მსხვერპლს ჩამოტვირთვის ღილაკზე დაჭერისკენ უბიძგებს.

ჩამოტვირთვის ბმულს მომხმარებელი GitHub Pages-ის გვერდზე გადაჰყავს. იქ მწვანე ნიშნები და წარწერები „secure“, „Verified Access“ და „Secure Connection“ სანდოობის შთაბეჭდილებას ქმნის. თავდამსხმელთა გვერდები მსხვერპლს შემდეგ ინფიცირებული ZIP-ფაილების ჩამოტვირთვის სერვერზე გადაამისამართებს. შუამავალი გვერდები კვალის დასაფარად შეცვლილ 404.html-ფაილებს იყენებს. ამგვარად, ისინი GitHub Pages-ის შეცდომების დამუშავების მექანიზმს ფარული გადამისამართებისთვის ბოროტად იყენებენ.

საძიებო სისტემებისთვის ოპტიმიზებული ყალბი რეპოზიტორიების სამიზნედ LastPass-ის ქცევა განსაკუთრებით არასახარბიელოა. ამავე სახელწოდების პაროლების მმართველის მომწოდებელს უსაფრთხოების ინციდენტები წარსულშიც არაერთხელ შეემთხვა. 2023 წელს ჰაკერებმა, სავარაუდოდ, პაროლების საცავები მოიპარეს და მათი დაშიფვრა გატეხეს. ბოლოს, წლის დასაწყისში, LastPass-მა მომხმარებლები ფიშინგის კამპანიის შესახებ გააფრთხილა.

ჩამოტვირთული ZIP-ფაილები სავარაუდო ინსტალატორს შეიცავს. სინამდვილეში ის Microsoft-ის გამართვის ხელსაწყო vsdbg.exe-ა, რომელსაც სხვა სახელი აქვს. პროგრამა ავტომატურად ტვირთავს თანმხლებ vsdbg.dll-ფაილს, რომელშიც ინფოსტილერის მავნე კოდია მოთავსებული. შემდეგ მავნე პროგრამა ადმინისტრატორის უფლებების მოპოვებას ცდილობს, თუმცა LastPass-ს ზუსტი მეთოდი არ დაუსახელებია. ამის შემდეგ ის ბირთვის დრაივერს აყენებს, რომელიც Nvidia-ს კომპონენტ nvfsflt64.sys-ად ინიღბება. დრაივერი 145 ცნობილი უსაფრთხოების პროგრამის სიას შეიცავს და აღმოჩენის შემთხვევაში მათ თიშავს. LastPass-ის ცნობით, უსაფრთხოების სისტემები ვერ რეაგირებს, რადგან ბრძანება ბირთვის დონიდან მოდის. Windows-იც გაფრთხილებას არ აჩვენებს, რადგან ინფიცირებულ დრაივერს Microsoft-ის აპარატურასთან თავსებადობის პროგრამის ოფიციალური ხელმოწერა აქვს.