Unsung GitHub proporciona la infraestructura Anchor Novel Hacker C2

Los investigadores han descubierto una cuenta de GitHub que abusa de dos características únicas del sitio para alojar malware de segundo nivel.

Los piratas informáticos utilizan cada vez más los servicios públicos como sede de sus delitos. Colocar malware en repositorios de código públicos o servicios para compartir archivos y Ejecute comando y control (C2) sobre aplicaciones de mensajería. A veces se vuelven aún más creativos y utilizan plataformas de software como servicio (SaaS). Maneras que nunca podrías adivinar.

Esta tradición la continúa yeremyvalidslov2342 (anteriormente “Yeremy”), un individuo asociado con varios paquetes maliciosos. identificado por ReversingLabs el 19 de diciembre. Para contrabandear secretamente cargas útiles a los administradores del sitio y a las víctimas, los paquetes de Yeremy se ocultaron utilizando dos funciones de GitHub no utilizadas anteriormente: «gists» y commits.

Nuevas formas de abusar de GitHub para obtener beneficios cibernéticos

La forma más común en que los ciberdelincuentes abusan de los repositorios de códigos públicos es simplemente publicando sus archivos maliciosos en cuentas desechables. Es obvio pero asqueroso, ya que los administradores trabajan para identificar y eliminar dichas cuentas tan pronto como se descubren.

Yeremy adoptó un enfoque más engorroso e inicialmente publicó varios paquetes en el Índice de paquetes de Python (PyPI). Otro repositorio del que a menudo se abusa. Los paquetes se presentaron como bibliotecas honestas para manejar servidores proxy de red, pero en su archivo de configuración había una cadena codificada en Base64 que ocultaba una URL que apuntaba a un «núcleo» secreto de GitHub.

Gists son una especie de versión ligera de los repositorios de Git, diseñada para permitir a los programadores almacenar y compartir fragmentos de código sin tener que configurar proyectos completos a su alrededor. Pueden ser públicos o “secretos”: ocultos al público en general y no se pueden buscar, pero sí se pueden compartir con amigos y colegas.

El núcleo secreto de los paquetes PyPI contenía malware de segundo nivel. Los investigadores sólo pudieron encontrar otro uso de los núcleos para tal fin: enterrados en un informe de Trend Micro de 2019 sobre una puerta trasera de Slack.

Yeremy también estaba conectado a otro paquete PyPI a través de un archivo de instalación malicioso. Esta vez, cuando se ejecutó, el paquete clonó un proyecto PySocks existente, probablemente legítimo, de GitHub. En este caso, el malware no estaba en el repositorio en sí, sino en el mensaje de confirmación que lo describe.

Cómo los servicios públicos ayudan a los piratas informáticos

Si bien realizar ciberataques a través de la propia infraestructura proporciona cierto grado de resistencia a la eliminación de cuentas, aprovechar recursos compartidos y de código abierto proporciona la ventaja del sigilo.

«Algunos autores de malware tienen miedo de ser descubiertos», señaló Karlo Zanki, autor del informe del martes. Pero añade: «Si el código malicioso se oculta adecuadamente, los servicios públicos no son tan buenos para detectarlo».

“Los repositorios de paquetes como npm y PyPI reciben miles de paquetes todos los días”, continúa, “y no existe una manera fácil de monitorearlos y analizarlos. Algunos repositorios escanean con soluciones antivirus tradicionales, pero muy a menudo los paquetes maliciosos van más allá de estas soluciones básicas.» Por lo tanto, tienen recursos limitados y es poco probable que tengan dinero o motivación para hacer que todo lo que publican sea seguro. Depende de los usuarios de estos paquetes protegerse”.

Los servicios públicos de software también brindan una serie de beneficios adicionales a los malos actores. Es más rápido, más fácil y más económico crear una cuenta en un sitio web popular que configurar una infraestructura tradicional. La empresa que respalda el sitio web se encarga del mantenimiento y el tiempo de actividad y suele ser muy confiable. El tráfico a sitios web populares despierta muchas menos sospechas que el tráfico a servidores desconocidos en países lejanos. ¿Y qué hay de malo en eliminar una cuenta maliciosa? Simplemente crea uno nuevo.

«Si yo fuera un actor malicioso», concluye Zanki, «definitivamente no perdería el tiempo ejecutando mi propia infraestructura».