ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์กำลังถูกโจมตีด้วยโปรเจกต์รักษาความปลอดภัยที่มีการติดมัลแวร์บน GitHub ซึ่งติดตั้งทั้ง backdoor และ information stealer
แคมเปญนี้เริ่มต้นเมื่อประมาณสองปีก่อน โดยครั้งแรกมุ่งเป้าไปที่ผู้ใช้กระเป๋าเงินคริปโต แต่ล่าสุดผู้โจมตีได้เปลี่ยนเป้าหมายและเผยแพร่ repository ที่เป็นอันตรายสำหรับการทำงานอัตโนมัติ เช่น การสแกน การทดสอบความปลอดภัย และการวิเคราะห์ Log
โค้ดอันตรายถูกฝังอยู่ในไฟล์ Visual Studio, สคริปต์ Python และ Go โดยใช้เทคนิคเก่าคือการซ่อนในช่องว่างจำนวนมาก ก่อนจะติดตั้ง loader ที่ยกระดับสิทธิ์และปิดใช้งานฟีเจอร์ความปลอดภัยของ Windows
หากโหมดแรกไม่ทำงาน Loader จะใช้ Mode2 ซึ่งเพิ่มการยกเว้นใน Microsoft Defender และใช้สคริปต์ PowerShell เพื่อถอดรหัสและฉีด Payload เข้าไปใน ‘RegAsm.exe’
Payload สุดท้ายที่ส่งไปยังเครื่องคือ AsyncRAT backdoor, clipper malware ที่เปลี่ยนที่อยู่กระเป๋าเงินในคลิปบอร์ด และ information stealer ที่ขโมยข้อมูลเบราว์เซอร์, การตั้งค่า VPN, และโทเค็น Discord เพื่อส่งออกผ่านบอท Telegram
นอกจากนี้ มัลแวร์ยังพยายามลบโปรแกรมป้องกันไวรัส ESET, McAfee และ Malwarebytes, ตัดการเชื่อมต่อจากเซิร์ฟเวอร์อัปเดต และรบกวนการสำรองข้อมูลของ Windows ด้วย
ศัพท์ที่ควรรู้
- Backdoor – ช่องทางลับที่ผู้โจมตีใช้กลับเข้ามาในระบบที่ถูกบุกรุก
- Information Stealer – มัลแวร์ที่ถูกออกแบบมาเพื่อค้นหาและขโมยข้อมูลสำคัญจากเครื่องคอมพิวเตอร์
- AsyncRAT – หนึ่งในมัลแวร์ที่ถูกใช้เป็น backdoor ในการควบคุมระยะไกล
- Clipper Malware – มัลแวร์ที่เข้ามายึดและเปลี่ยนแปลงข้อมูลในคลิปบอร์ดของผู้ใช้
- GitHub – แพลตฟอร์มสำหรับนักพัฒนาที่ถูกใช้เป็นจุดเผยแพร่โค้ดอันตราย
ที่มา: bleepingcomputer.com