Fake security tools on GitHub push backdoors and infostealers

Una cam­pa­ña ma­li­cio­sa en la pla­ta­for­ma GitHub está en­fo­ca­da en ata­car a pro­fe­sio­na­les de la se­gu­ri­dad me­dian­te pro­yec­tos fal­sos que ins­ta­lan un re­gis­tra­dor de in­for­ma­ción y una puer­ta tra­se­ra. Aun­que en un prin­ci­pio los ata­can­tes se di­ri­gían a usua­rios de crip­to­mo­ne­das con jue­gos y he­rra­mien­tas de tram­pa, re­cien­te­men­te mo­di­fi­ca­ron sus ob­je­ti­vos para ofre­cer re­po­si­to­rios ma­li­cio­sos orien­ta­dos al aná­li­sis de re­gis­tros, prue­bas de se­gu­ri­dad y au­to­ma­ti­za­ción de es­ca­neos.

Los ar­chi­vos afec­ta­dos des­cu­bier­tos in­clu­yen có­di­gos fuen­te en Go, scripts de Python y ar­chi­vos de pro­yec­tos de Vi­sual Stu­dio, donde el có­di­go pe­li­gro­so se ocul­ta uti­li­zan­do es­pa­cios en blan­co. Para lo­grar la in­fec­ción, el pro­ce­so em­plea co­man­dos de Po­werShell que des­car­gan un car­ga­dor ci­fra­do lla­ma­do 'Mi­cro­soft.exe', el cual se en­car­ga de ase­gu­rar la per­sis­ten­cia en el equi­po, ele­var pri­vi­le­gios y des­ac­ti­var me­ca­nis­mos de re­cu­pe­ra­ción y se­gu­ri­dad de Win­dows.

El malwa­re prin­ci­pal in­clu­ye un la­drón de datos que re­co­pi­la in­for­ma­ción de na­ve­ga­do­res, redes vir­tua­les pri­va­das, con­fi­gu­ra­cio­nes de FTP, datos de cuen­tas de vi­deo­jue­gos y to­kens de Dis­cord para en­viar­los por medio de un bot de Te­le­gram, ade­más de un pro­gra­ma para al­te­rar di­rec­cio­nes de crip­to­mo­ne­das en el por­ta­pa­pe­les y la puer­ta tra­se­ra Asyn­cRAT. Asi­mis­mo, el soft­wa­re ma­li­cio­so busca in­ter­fe­rir con co­pias de se­gu­ri­dad de Win­dows e in­ten­ta des­ins­ta­lar o blo­quear las ac­tua­li­za­cio­nes de cier­tos an­ti­vi­rus.