駭客在GitHub散布假資安工具，利用Visual Studio編譯流程植入後門

資安廠商Dr.Web揭露，駭客在GitHub散布偽裝成資安工具的惡意專案，將惡意程式碼藏入Visual Studio專案檔，以及Python、Go原始碼。開發者若觸發埋藏在專案中的指令，電腦可能遭植入遠端存取後門與資訊竊取程式。研究人員指出，調查時已有超過2,000臺電腦遭感染。

最早的惡意儲存庫約兩年前出現，當時駭客以區塊鏈遊戲、遊戲機器人及作弊工具吸引使用者，近期則轉向資安人員。駭客將程式包裝成掃描自動化、安全測試及日誌分析工具，其中一個假專案稱能整理Fscan掃描結果，實際夾帶惡意程式碼。早期的惡意儲存庫甚至附有安裝Visual Studio及複製儲存庫的操作說明。

在Visual Studio專案中，攻擊者利用.csproj檔案的PreBuildEvent功能，在程式編譯前執行惡意指令，.suo檔案內也藏有PowerShell命令。另外，Python與Go原始碼的惡意內容被放在大量空白字元之後，增加人工檢查的難度。

惡意指令執行後，PowerShell會取得加密資料，解密出壓縮檔Quixo.7z的下載位置，壓縮檔內含名為Microsoft.exe的Electron應用程式，屬於編號Trojan.Loader.3261的惡意載入程式。該程式會下載其他惡意模組，並嘗試將程式碼注入Windows合法行程。

載入程式還會嘗試停用Microsoft Defender、使用者帳戶控制及系統還原功能，並以移除安全軟體監控掛鉤、修改AMSI與ETW相關函式等方式規避偵測。部分功能也會嘗試移除ESET、McAfee及Malwarebytes防毒軟體。載入程式設有多種部署模式，若惡意模組未能成功啟動，還可改用PowerShell解密模組，並將程式碼注入Windows行程。

後續載入的惡意程式包括AsyncRAT後門、加密貨幣錢包地址替換程式及資訊竊取程式，AsyncRAT後門可讓攻擊者遠端控制受害電腦，地址替換程式則會竄改剪貼簿中的錢包地址，並擷取螢幕畫面回傳攻擊者。資訊竊取程式則針對瀏覽器資料、VPN設定、FileZilla與MobaXterm組態，以及Discord權杖，並透過Telegram機器人外傳。