Поддельные сайты open-source проектов: масштабная кампания по перехвату трафика и доставке вредоносного ПО

Когда пользователь ищет популярную программу, он почти всегда кликает по первой ссылке в выдаче, полагая, что это официальный ресурс. Если сайт выглядит профессионально, содержит ссылки на реальный репозиторий проекта и даже упоминает GitHub, доверие возникает автоматически. Однако именно на таком доверии построена крупная кампания, которую исследовала компания Check Point. Злоумышленники создали десятки сайтов-двойников, имитирующих страницы известных инструментов для разработки и анализа безопасности - в том числе Ghidra, dnSpy и SpiderFoot. При беглом взгляде их невозможно отличить от настоящих, а механизм обмана скрыт не в содержимом страницы, а в том, что происходит после нажатия на кнопку скачивания.

Описание

Исследователи выяснили, что поддельные сайты загружают скрипт на JavaScript, размещённый в облачном сервисе Amazon CloudFront. При клике по кнопке "Скачать" этот скрипт перехватывает действие и передаёт его на обработку системе распределения трафика - TDS (traffic distribution system). TDS выполняет строгую фильтрацию: проверяет, впервые ли пользователь на странице, требует подтверждения клика, анализирует подозрительные признаки (наличие VPN, работу в дата-центре, частоту запросов) и блокирует ботов. Только после прохождения всех этих гейтов происходит перенаправление на конечный ресурс.

Отчёт Check Point описывает более сотни активных поддельных доменов, среди которых ghidralite[.]com, dnspy[.]org, ilspy[.]org, а также сайты для утилит вроде CrystalDiskMark или Grpcurl. Масштаб кампании подтверждает телеметрия VirusTotal: свыше пяти тысяч отправок вредоносных образов только за период наблюдения, а реальный охват, вероятно, намного выше.

Сама система TDS не обязана распространять именно вредоносное ПО. Часто перенаправление ведёт на страницы с условно-бесплатными программами или рекламными предложениями, например, на установку браузера Opera. Однако исследователи зафиксировали несколько веток, которые вели к доставке вполне реальных зловредов. Среди них - ранее неизвестный многоступенчатый загрузчик SessionGate, информационный вор RemusStealer и криптовалютный клиппер AnimateClipper.

Главная техническая уловка поддельных сайтов - они не подменяют ссылку на GitHub в HTML-коде. Когда пользователь наводит курсор на кнопку, браузер показывает настоящий URL проекта. Но если человек всё же кликает, скрипт перехватывает событие, предотвращает стандартную навигацию и отправляет браузер на адрес, контролируемый TDS. При этом используются разные приёмы для разных браузеров, а логика маршрутизации зависит от того, были ли уже посещения с данного устройства. Из-за этого повторные попытки могут вести уже на легитимный GitHub, что затрудняет анализ.

Наиболее сложным оказался загрузчик SessionGate. Его цепочка доставки включает несколько этапов с сильными проверками окружения. Первый исполняемый файл содержит встроенный 7-Zip SFX-архив, который при обычном запуске ведёт себя как безобидный установщик. Однако если загрузчик получен не через полноценную цепочку TDS (то есть не прошёл все гейты), вредоносная часть не активируется. SessionGate проверяет запущенные антивирусные службы (по хешам их имён, а не в открытом виде), наличие средств захвата трафика (npcap), редакцию Windows и настройки защиты от потенциально нежелательных программ. Только при соблюдении всех условий происходит связь с сервером управления и контроля - C2.

Протокол взаимодействия с C2 также многоступенчатый. Загрузчик отправляет запрос с подписью на основе секретной соли, получает в ответ шестнадцатеричную строку, и если сумма её цифр чётная - выполнение прекращается. Затем второй этап загрузчика получает следующий модуль, который уже расшифровывает и запускает основную полезную нагрузку. Ключи для расшифровки генерируются на сервере индивидуально для каждой сессии, привязаны к IP-адресу жертвы и, вероятно, выдаются только один раз. Это делает анализ чрезвычайно трудным: аналитик, запустивший загрузчик вне оригинальной цепочки, получает либо пустой ответ, либо валидный на вид, но нерабочий ключ.

Конечная нагрузка SessionGate - это фреймворк для управляемой сервером установки программ. Он скачивает и запускает исполняемые файлы, замаскированные под полезные утилиты (например, PDF Spark, Document Sparkle). Хотя в проанализированных образцах не обнаружено кражи данных, сама возможность удалённого выполнения любых команд делает этот фреймворк опасным инструментом доставки вредоносного кода.

В другой ветке TDS пользователь получал ссылку на ZIP-архив с паролем. Внутри оказался исполняемый файл размером около 850 мегабайт - он был искусственно раздут нулями, чтобы обойти антивирусные сканеры и песочницы. После очистки пустышек выявлялся вор RemusStealer, написанный на Go. Этот инфостилер нацелен на кражу данных из более чем двадцати браузеров, а также из сотен расширений: криптокошельков, менеджеров паролей, приложений двухфакторной аутентификации. В перехваченном спике C2 содержалось 332 идентификатора расширений, из которых 220 относились к кошелькам, 77 - к менеджерам паролей. RemusStealer умеет выполнять поиск по файловой системе, снимать скриншоты, перехватывать буфер обмена и выполнять произвольные команды из реестра.

Третья ветка вела к клипперу AnimateClipper, который подменяет скопированные адреса криптокошельков на адреса злоумышленников. Интересная особенность: этот вредонос для получения адреса C2 обращается к смарт-контракту на тестовой сети BNB Smart Chain. В проанализированном образце контракт возвращал домен kr.hugo-lapp.co. Затем клиппер в реальном времени проверял буфер обмена и при обнаружении адреса более чем двадцати блокчейнов заменял его своим. Самый ранний входящий платёж на один из зашитых кошельков датирован июлем 2025 года, что указывает на долгосрочную активность.

Кампания напоминает: внешняя "официальность" сайта не гарантирует безопасности. Ссылки на GitHub в подделках настоящие, дизайн безупречный, но клик по кнопке скачивания может неожиданно перенаправить пользователя на вредоносный ресурс. Для специалистов по информационной безопасности это дополнительный сигнал проверять не только URL, но и то, куда ведёт каждый клик, особенно при скачивании инструментов для реверс-инжиниринга. А для обычных пользователей - правило "первая ссылка в Google" больше не работает, если речь идёт о загрузке программ.