Эксперты Trend Micro обнаружили кампанию киберпреступников под названием Water Curse, которая использует доверие к открытому исходному коду для распространения вредоносного ПО через GitHub. Группа создает поддельные репозитории, маскируя их под легитимные инструменты для пентестеров и разработчиков, но на самом деле внедряет многоэтапные вредоносные нагрузки.
Описание
Атака начинается с загрузки проектов, таких как Email-Bomber-SMTP и Sakura-RAT, которые содержат скрытые скрипты. При компиляции кода срабатывает предварительно встроенный вредоносный код, который запускает цепочку заражения. Используются обфусцированные скрипты на VBS и PowerShell, чтобы загружать дополнительные модули, включая Electron-приложения с функционалом для сбора данных.
Основные цели злоумышленников - кража учетных данных, данных браузеров, токенов сессий и установка удаленного доступа. Water Curse применяет техники анти-отладки, эскалации привилегий и механизмы персистентности, такие как запланированные задачи и модификации реестра. Это позволяет им долгое время оставаться незамеченными в системе.
Один из ключевых инструментов - SearchFilter.exe, который маскируется под легитимное ПО и выполняет сбор информации о системе, включая данные GPU, процессоров и сетевых подключений. Также используются скрипты для отключения защитных механизмов, таких как Windows Defender и System Restore.
Собранные данные упаковываются в архив с помощью 7-Zip и отправляются на внешние серверы через легальные сервисы, включая Telegram и Gofile. Это позволяет злоумышленникам скрыть факт утечки.
Water Curse ориентируется на разработчиков, специалистов по кибербезопасности и геймеров, что делает их кампанию особенно опасной для open-source сообщества. Эксперты Trend Micro рекомендуют тщательно проверять исходный код, скрипты и историю репозиториев перед использованием, а также применять решения для обнаружения подобных угроз.
Эта атака подчеркивает растущую угрозу цепочки поставок в open-source экосистеме, где злоумышленники эксплуатируют доверие пользователей для распространения вредоносного ПО.
Индикаторы компрометации
