Компания Check Point Research сообщила о новой технике, которая использует популярный игровой движок Godot Engine для выполнения вредоносного кода GDScript. Эта новая техника остается незамеченной большинством антивирусных систем и позволяет злоумышленникам атаковать и заражать устройства на различных платформах, таких как Windows, macOS, Linux, Android и iOS.
GodLoader Malware
Вредоносный код GDScript выполняет вредоносные команды и доставляет вредоносное ПО. Для распространения этого вредоносного кода использовался загрузчик, названный GodLoader, который был распространен через сеть Stargazers Ghost Network. Эта сеть работает как сервис распространения вредоносного ПО через репозитории GitHub.
Злоумышленники использовали около 200 репозиториев и более 225 учетных записей Stargazers Ghost для легитимизации репозиториев, распространяющих вредоносную программу. Это позволило им обмануть пользователей и создать видимость легитимности и безопасности их репозиториев. Распространение вредоносного кода происходило через несколько волн атак, нацеленных на разработчиков, геймеров и обычных пользователей.
Компания Check Point Research продемонстрировала, как эта новая техника может успешно распространять полезную нагрузку в Linux и macOS. Они также предупредили, что более 1,2 миллиона пользователей игр, разработанных на движке Godot, могут быть потенциальными жертвами такой атаки. Злоумышленники могут использовать легитимные исполняемые файлы Godot для загрузки вредоносных скриптов в виде модов или другого загружаемого контента.
В целом, эта новая техника угрожает безопасности множества пользователей на различных платформах. Она использует гибкость и популярность Godot Engine для выполнения вредоносного кода GDScript и распространения вредоносного ПО. Пока данная техника остается необнаруженной большинством антивирусных систем, компании и пользователи должны быть внимательными и принимать соответствующие меры для защиты своих устройств от таких атак.
Indicators of Compromise
IPv4 Port Combinations
- 147.45.44.83:6483
- 185.196.9.26:6302
SHA256
- 0d03c7c6335e06c45dd810fba6c52cdb9eafe02111da897696b83811bff0be92
- 260f06f0c6c1544afcdd9a380a114489ebdd041b846b68703158e207b7c983d6
- 3317b8e19e19218e5a7c77a47a76f36e37319f383b314b30179b837e46c87c45
- 604fa32b76dbe266da3979b7a49e3100301da56f0b58c13041ab5febe55354d2
- 6be9c015c82645a448831d9dc8fcae4360228f76dff000953a76e3bf203d3ec8
- b1a351ee61443b8558934dca6b2fa9efb0a6d2d18bae61ace5a761596604dbfa
