Нова злонамерена кампания превръща интереса към инструменти с изкуствен интелект (ИИ) в път за проникване в корпоративни среди. Атакуващите клонират доверени проекти в GitHub, след което скриват злонамерени файлове в изтегляния, които изглеждат полезни за разработчици и потребители на ИИ.
Операцията е насочена към хора, които търсят ресурси за ИИ, асистенти за програмиране, ръководства за сигурност на Python, Rust платформи, инструменти, свързани с Claude, и проекти за ComfyUI.
Организациите за финансови услуги, банковият сектор и технологичните компании в Северна Америка, Азия и Южна Европа са сред най-засегнатите сектори.
Netskope посочва в доклад, споделен с Cyber Security News (CSN), че тази дейност е свързана с по-широката фабрика за примамки TroyDens.
Изследователите са установили, че атакуващите използват клонирани хранилища, за да доставят софтуер за кражба на информация от тип „злонамерен софтуер като услуга“ (Malware-as-a-Service) чрез двуетапна верига SmartLoader.
Кампанията е важна, тъй като разработчиците често имат достъп до облачни среди, изходен код, API ключове, сертификати за подписване на код и CI/CD системи.
Компрометирана сесия на разработчик или откраднати идентификационни данни могат да осигурят на атакуващия практическа точка за достъп в организацията, създавайки път към кражба на данни или атаки срещу веригата за доставки на софтуер.
Атакуващите правят страниците си в GitHub да изглеждат убедително, като копират легитимен код, документация, подробности за сътрудниците и инструкции за инсталиране.
Злонамереният код се поставя в безвредно изглеждащи папки или се свързва чрез променени стъпки за инсталиране – тактика, която се среща и при други операции с фалшиви хранилища в GitHub, разчитащи на доверието на потребителите.
Жертвите получават ZIP архив, съдържащ lua51.dll, compiler.exe, Application.bat и текстов файл с име gc.txt.
Командният файл стартира преименувания LuaJIT интерпретатор, който чете и изпълнява скрития Lua код от текстовия файл вместо от конвенционален изпълним файл.
Тази структура помага на зловредния софтуер да избягва прости проверки за сигурност, тъй като всеки файл изглежда по-малко подозрителен, когато се проверява самостоятелно.
Истинската активност се проявява само когато компонентите на архива присъстват заедно, което позволява на зареждащата програма (loader) да прави мрежови заявки, да записва файлове и да стартира нови процеси.
Lua скриптът от първия етап е защитен с Prometheus обфускация, докато вторият етап изглежда използва MoonSec V3.
Този многослоен подход прилича на по-ранни кампании за доставка на зловреден софтуер чрез SmartLoader в GitHub, където са използвани доверени услуги за споделяне на код с цел разпространение на многостепенен злонамерен код.
Блокчейн скрива управляващия сървър
SmartLoader първо събира публичния IP адрес на жертвата, данни за местоположението, часовата зона, интернет доставчика и екранна снимка.
След това изпраща криптиран сигнал (beacon) до команден сървър, предоставяйки на оператора достатъчно информация, за да реши как да действа с компрометираното устройство.
Вместо да вграждат фиксиран адрес на управляващия сървър, и двата етапа на зареждащата програма извличат информация от смарт договор в мрежата Polygon по време на изпълнение.
Този метод (EtherHiding) позволява на атакуващите да заменят адреса на своя сървър чрез промяна на стойност в блокчейна, без да се налага да прекомпилират или разпространяват отново зловредния софтуер.
Вторият етап изтегля допълнително Lua съдържание и краен зловреден код за кражба на информация от контролирани от атакуващите акаунти в GitHub.
Изследователите са забелязали няколко варианта на софтуера за кражба на данни, включително версия, базирана на NodeJS, което показва, че платформата може да доставя различен зловреден софтуер в зависимост от нуждите на оператора.
Организациите трябва да проверяват собствеността на проектите, историята на сътрудниците и официалните източници на версиите, преди да стартират инсталационни програми, хоствани в GitHub.
Екипите за сигурност трябва също така да разследват необичаен блокчейн RPC трафик от интерпретатори на скриптове, командни файлове или папки с права за запис от потребителя, тъй като злоупотребата със софтуер в GitHub и GitLab все по-често съчетава доверен хостинг със злонамерена доставка.
Контролът на приложенията може да намали излагането на риск чрез ограничаване на неподписани интерпретатори и програми за стартиране на скриптове извън одобрените директории.
Мониторингът на създаването на планирани задачи, директните изтегляния от GitHub, уеб заявките към чисти IP адреси и неочакваното заснемане на екрана също могат да помогнат на защитниците да открият зареждащата програма, преди тя да достигне до корпоративни идентификационни данни или чувствителни активи за разработка.