GitHub’daki sahte güvenlik araçları backdoor ve infostealer yayıyor

Dr. Web araştırmacılarına göre GitHub’da yayımlanan sahte güvenlik araçları, siber güvenlik uzmanlarının Windows sistemlerine backdoor (arka kapı) ve infostealer kuruyor. Yaklaşık iki yıldır süren kampanya önce kripto cüzdan kullanıcılarını hedefliyordu; son dönemde tarama, güvenlik testi ve log analizi için hazırlanmış repo’lara geçti. Şu ana kadar 2.000’den fazla Windows sistemi ele geçirildi.

AsyncRAT nedir, ne işe yarar?

AsyncRAT, açık kaynak olarak yayımlanmış bir uzaktan erişim truva atıdır (RAT). Saldırganlar onu bulaştığı Windows makinesini uzaktan yönetmek, tuş kayıtlarını toplamak ve ek malware indirmek için kullanıyor. Kodu herkese açık olduğu için pek çok kampanyada değiştirilmiş sürümleriyle karşımıza çıkıyor.

Hedef artık güvenlik ekibinin kendisi

Saldırganlar yem olarak, her gün GitHub’dan indirdiğimiz küçük yardımcı script’leri kullanıyor. Örneklerden biri, Fscan çıktısını ayrıştırıp düzenleyen bir araç gibi görünüyor. Bir pentest sırasında böyle bir script’i hızlıca klonlayıp çalıştırmak çok olağan bir alışkanlık.

Saldırgan bu alışkanlığı biliyor. Güvenlik uzmanının makinesinde VPN profilleri, FTP client yapılandırmaları ve müşteri ortamlarına açılan oturumlar bulunuyor. Infostealer tam olarak bunları topluyor ve bir Telegram bot’u üzerinden dışarı aktarıyor.

Kod derlenmeden önce çalışıyor

Zararlı kod Visual Studio proje dosyalarına, Python script’lerine ve Go kaynak dosyalarına gömülü. Uzun whitespace bloklarının arkasına saklandığı için editörde satır sonuna kaydırmadan görünmüyor.

Visual Studio projelerinde iş daha sinsi. Pre-build event, kod derlenmeden önce çalışıyor; yani projeyi açıp build’e basmanız yetiyor. Kaynak kodu okuyup temiz bulsanız bile proje dosyasındaki bu adımı atlamış olabilirsiniz.

Zincirin sonrası PowerShell ile şifreli bir indirme bağlantısı çekiyor ve Electron tabanlı ‘Microsoft.exe’ loader’ını indiriyor. Loader yetki yükseltiyor, Windows güvenlik ve kurtarma özelliklerini kapatıyor, ntdll.dll hook’larını temizliyor, AMSI ve ETW fonksiyonlarını bellekte yamalıyor.

Sahte güvenlik araçları için repo kontrolü

GitHub’dan aldığınız sahte güvenlik araçları ile gerçeğini yıldız sayısından ayırmak zor. Çalıştırmadan önce, izole bir Linux makinesinde birkaç basit tarama yapabilirsiniz:

grep -rn "PreBuildEvent" .
grep -rnE ' {200,}' .
grep -rni "powershell" .

İlk komut Visual Studio projelerindeki pre-build adımlarını, ikincisi 200 karakterden uzun boşluk dizilerini, üçüncüsü PowerShell çağrılarını listeliyor. Bir log ayrıştırma script’inde bunların hiçbirine ihtiyaç yok.

Bu tür araçları ana iş istasyonunuzda çalıştırmayın. Kalıcı çözüm, onları tek kullanımlık bir sanal makinede çalıştırmak. Malware Windows hedefliyor; Linux üzerinde inceleme yapmak bulaşma riskini düşürüyor.

Bulaşmadan şüpheleniyorsanız

Loader’ın yedek modu Microsoft Defender’a exclusion ekliyor ve payload’ları RegAsm.exe içine enjekte ediyor. Windows makinede eklenmiş exclusion’ları PowerShell ile kontrol edin:

Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess

Tanımadığınız bir yol veya süreç görürseniz makineyi ağdan ayırın. Malware ESET, McAfee ve Malwarebytes’ı kaldırmaya çalışıyor, Windows yedeklemelerini bozuyor; bu yüzden makinedeki antivirüsün “temiz” demesine güvenmeyin ve yeniden kurulumu düşünün.

Temizlikten sonra temiz bir cihazdan şunları yenileyin:

• Tarayıcıda kayıtlı parolalar ve açık oturumlar
• VPN yapılandırmalarındaki kimlik bilgileri ve sertifikalar
• FTP client’larında saklanan hesaplar
• Discord token’ları ve oyun hesapları

AsyncRAT uzaktan erişim veriyor ve clipper panodaki kripto cüzdan adreslerini değiştiriyor. Bulaşan makineden yapılmış son transferleri de kontrol edin. Dr. Web, kampanyaya ait tam IOC listesini yayımladı; EDR ve proxy log’larınızda bu göstergeleri aratın. Araştırmacıların bulduğu yarım kalmış bileşen, silinen loader’ı yeniden indirmeye yönelik görünüyor, yani sahte güvenlik araçları kampanyasında yeni sürümler bekleniyor.