I ricercatori di Doctor Web hanno individuato un nuovo trojan che prende di mira gli sviluppatori software compromettendo i progetti C++ e C#. Il malware combina funzionalità di infostealer, clipboard hijacker, backdoor, cryptominer e file infector, trasformando l’ambiente di sviluppo in una testa di ponte per attacchi alla supply chain.
Questo approccio rende l’infezione molto più pericolosa, poiché il codice malevolo può propagarsi indirettamente ai progetti sviluppati dalla vittima.
Infatti, alterando questi progetti, il malware può compromettere il processo di compilazione e contaminare il software prodotto dagli sviluppatori, aumentando il rischio di distribuire applicazioni infette a clienti o colleghi.
Indice degli argomenti
Una catena di attacco ben definita
L’analisi di Doctor Web mostra come il malware segua una catena di attacco ben definita.
L’attacco prende avvio attraverso file eseguibili compromessi o script Python malevoli. Nel caso delle applicazioni Windows, gli aggressori modificano il processo di avvio del programma per eseguire in modo invisibile codice PowerShell, che scarica il componente successivo del malware e ne avvia l’infezione.
Gli script Python seguono una logica simile. In tal caso, però, il codice dannoso è nascosto (dietro una sequenza di caratteri di spazio bianco) e crittografato con l’algoritmo simmetrico Fernet. Una volta decrittografato, il codice può essere eseguito per proseguire la fase successiva della catena.
Fonte: Dr Web.
Dopo l’infezione, il malware verifica innanzitutto se il sistema appartiene a uno sviluppatore ricercando file e componenti tipici degli ambienti di sviluppo per aumentare la possibilità di propagarsi all’interno dei progetti software (C++, C#, Microsoft Visual Studio, Windows SDK) e una volta individuato un bersaglio di interesse, compromette i progetti software per propagarsi lungo la supply chain, mentre in parallelo sottrae credenziali, cookie e token di autenticazione da browser e applicazioni di uso comune.
Inoltre, per mantenere il controllo del sistema, il malware recupererebbe in modo dinamico gli indirizzi dei server di comando e controllo C2 sfruttando piattaforme legittime come Steam e GitHub, una tecnica che rende più difficile il rilevamento e consente agli attaccanti di modificare rapidamente la propria infrastruttura senza distribuire nuove varianti del codice malevolo.
I nomi di dominio dei server vengono infatti nascosti in chiaro all’interno dei profili Steam, mentre gli indirizzi sono archiviati in forma crittografata in file raw pubblici ospitati su GitHub.
Fonte: Dr Web.
Una minaccia multifunzione
Come anticipato, uno degli aspetti più preoccupanti è la natura modulare del malware che integra numerose funzionalità dannose in un unico componente, rendendolo estremamente versatile.
Il malware sarebbe in grado di rubare dati sensibili, monitorare e manipolare il contenuto degli appunti di Windows (per esfiltrare i dati delle carte di credito o sostituire gli indirizzi dei portafogli di criptovalute con indirizzi falsi), aprire una backdoor per consentire il controllo remoto del sistema, utilizzare le risorse hardware per il mining illecito di criptovalute (tramite strumenti open source XMRig, T-Rex e TeamRedMiner) e infettare ulteriori file presenti sul computer.
Tra i dati sensibili ricercati figurerebbero i token di autenticazione di Discord, le cartelle dell’applicazione Telegram Desktop e le credenziali salvate nei browser basati su Chromium.
Il malware sarebbe, infatti, in grado di estrarre password e cookie di navigazione da browser molto diffusi come Google Chrome, Microsoft Edge, Brave, Opera e Yandex Browser.
Ma non finisce qui: tra gli obiettivi del malware figurerebbe anche Exodus, un popolare wallet software per la gestione di criptovalute, confermando come gli attaccanti puntino non solo al furto di codice sorgente e credenziali degli sviluppatori, ma anche a ottenere un ritorno economico immediato compromettendo eventuali asset in criptovaluta presenti sui sistemi infetti.
Per tale scopo il trojan ricercherebbe i file associati all’applicazione Exodus con l’obiettivo di sottrarre informazioni utili ad accedere ai portafogli digitali della vittima.
In pratica individuando l’archivio legittimo del wallet (il file “app.asar”) lo sostituisce con una versione modificata, scaricata da un server controllato dagli aggressori, che in realtà intercetta le frasi di recupero e le inoltra ai server C2 tramite richieste POST.
Fonte: Dr Web.
I rischi per la supply chain
La scoperta conferma come gli sviluppatori siano ormai diventati un obiettivo prioritario per i gruppi cybercriminali.
Colpire uno sviluppatore consente infatti ai criminali informatici di raggiungere indirettamente numerose organizzazioni che utilizzano il software prodotto dalla vittima. In questo contesto anche un singolo ambiente di sviluppo compromesso può trasformarsi in un punto di diffusione del malware verso un numero elevato di sistemi.
Pertanto, rafforzare la sicurezza del ciclo di sviluppo non significa soltanto proteggere i programmatori, ma anche impedire che un singolo attacco possa propagarsi lungo l’intera filiera del software, con conseguenze potenzialmente molto estese.
La protezione degli ambienti di sviluppo richiede pertanto misure dedicate.
È fondamentale mantenere aggiornati sistemi operativi e strumenti di sviluppo, utilizzare soluzioni di sicurezza con funzionalità di rilevamento comportamentale, verificare periodicamente l’integrità del codice sorgente e controllare le dipendenze di terze parti.
Anche la firma del codice e il monitoraggio delle modifiche ai repository possono rappresentare strumenti efficaci per individuare tempestivamente eventuali compromissioni.
Partecipa alla community