ყალბი GitHub-რეპოზიტორიები ახალ ინფოსტილერს ავრცელებს

სამიზნე სისტემაში გაშვების შემდეგ მავნე პროგრამა 145 ცნობილ ანტივირუსულ პროგრამასა და საბოლოო მოწყობილობებზე საფრთხეების გამოვლენისა და რეაგირების სისტემას თიშავს. შემდეგ ის ბრაუზერებიდან, კრიპტოსაფულეებიდან, Steam-იდან, Discord-იდან, Telegram-იდან და Windows-იდან ავტორიზაციის მონაცემების მოპარვას იწყებს. მავნე კოდი ბირთვის დრაივერს იყენებს, რომელიც DLL-ის გვერდითი ჩატვირთვის გზით Windows-ის ოფიციალური ხელმოწერის მქონე კომპონენტად ინიღბება.

LastPass-მა ინფოსტილერის შესახებ ბლოგში დაწერა, რომ ინფიცირებული GitHub-რეპოზიტორიებისთვის სულ მცირე 40 კომპანიის სახელი გამოიყენეს, თუმცა კომპანიები არ დაუსახელებია. თაღლითები ძიების შედეგებში მაღალი პოზიციების მისაღებად ნამდვილ მომწოდებელთა მსგავს სტრატეგიებს იყენებენ. ოფიციალური ლოგოები და პროდუქტების აღწერილობები მსხვერპლს ჩამოტვირთვის ღილაკზე დაჭერისკენ უბიძგებს.

ჩამოტვირთვის ბმულს მომხმარებელი GitHub Pages-ის გვერდზე გადაჰყავს. იქ მწვანე ნიშნები და წარწერები „secure“, „Verified Access“ და „Secure Connection“ სანდოობის შთაბეჭდილებას ქმნის. თავდამსხმელთა გვერდები მსხვერპლს შემდეგ ინფიცირებული ZIP-ფაილების ჩამოტვირთვის სერვერზე გადაამისამართებს. შუამავალი გვერდები კვალის დასაფარად შეცვლილ 404.html-ფაილებს იყენებს. ამგვარად, ისინი GitHub Pages-ის შეცდომების დამუშავების მექანიზმს ფარული გადამისამართებისთვის ბოროტად იყენებენ.

საძიებო სისტემებისთვის ოპტიმიზებული ყალბი რეპოზიტორიების სამიზნედ LastPass-ის ქცევა განსაკუთრებით არასახარბიელოა. ამავე სახელწოდების პაროლების მმართველის მომწოდებელს უსაფრთხოების ინციდენტები წარსულშიც არაერთხელ შეემთხვა. 2023 წელს ჰაკერებმა, სავარაუდოდ, პაროლების საცავები მოიპარეს და მათი დაშიფვრა გატეხეს. ბოლოს, წლის დასაწყისში, LastPass-მა მომხმარებლები ფიშინგის კამპანიის შესახებ გააფრთხილა.

ჩამოტვირთული ZIP-ფაილები სავარაუდო ინსტალატორს შეიცავს. სინამდვილეში ის Microsoft-ის გამართვის ხელსაწყო vsdbg.exe-ა, რომელსაც სხვა სახელი აქვს. პროგრამა ავტომატურად ტვირთავს თანმხლებ vsdbg.dll-ფაილს, რომელშიც ინფოსტილერის მავნე კოდია მოთავსებული. შემდეგ მავნე პროგრამა ადმინისტრატორის უფლებების მოპოვებას ცდილობს, თუმცა LastPass-ს ზუსტი მეთოდი არ დაუსახელებია. ამის შემდეგ ის ბირთვის დრაივერს აყენებს, რომელიც Nvidia-ს კომპონენტ nvfsflt64.sys-ად ინიღბება. დრაივერი 145 ცნობილი უსაფრთხოების პროგრამის სიას შეიცავს და აღმოჩენის შემთხვევაში მათ თიშავს. LastPass-ის ცნობით, უსაფრთხოების სისტემები ვერ რეაგირებს, რადგან ბრძანება ბირთვის დონიდან მოდის. Windows-იც გაფრთხილებას არ აჩვენებს, რადგან ინფიცირებულ დრაივერს Microsoft-ის აპარატურასთან თავსებადობის პროგრამის ოფიციალური ხელმოწერა აქვს.

წარმატებული ინსტალაციის შემდეგ ინფოსტილერი სისტემაში შენახულ პაროლებს აგროვებს. პროგრამა აპლიკაციასთან მიბმული დაშიფვრის მქონე ბრაუზერებში კოდს ნერგავს. კოდი შესაბამის ბრაუზერად ინიღბება და დაშიფრულ მონაცემებს კითხულობს. პაროლების გარდა, მავნე პროგრამა კრიპტოსაფულეების შესახებ ყველა ინფორმაციას, Discord-ისა და Steam-ის ავტორიზაციის მონაცემებს, Telegram-ის სესიის მონაცემებსა და Windows-ის ავტორიზაციის მონაცემებს აგროვებს. ის ასევე ეძებს დოკუმენტებს, რომლებიც საკვანძო სიტყვებს „Passwort“, „Seed“, „Wallet“ ან „Recovery“ შეიცავს. ინფოსტილერი სისტემაში Windows-ის სერვისად რჩება და ჩატვირთვისას იწყებს მუშაობას. ბირთვის დრაივერის წაშლა მხოლოდ უსაფრთხო რეჟიმში ან აღდგენის გარე ხელსაწყოთი შეიძლება.