Part01
仿冒项目暗藏恶意代码
网络安全公司Doctor Web发现，多个伪装成安全工具的GitHub项目中暗藏恶意软件。相关攻击活动最早瞄准区块链游戏爱好者，近期又将网络安全从业者纳入目标范围。研究人员统计，目前已有超过2000台设备遭到感染。
报告写道："这些被篡改开发项目背后的攻击者，最初目标是区块链游戏爱好者，而最值得注意的是，他们现在将网安从业者也纳入了攻击范围。截至Doctor Web开展相关研究时，已有超过2000台设备被感染。"
这一攻击活动始于两年前，最初投放的是与区块链游戏、游戏外挂、作弊工具相关的Visual Studio项目，目标是使用加密货币钱包的用户。攻击者将恶意代码藏在项目文件中，包括项目构建前自动执行的命令，以及存储在配置文件中的PowerShell命令。他们甚至提供了Visual Studio安装教程、GitHub项目下载指引，技术能力有限的用户也能轻松上手操作。
现在攻击者已将目标转向网络安全从业者。他们新上传的GitHub项目自称提供自动化扫描、安全测试、日志分析等工具能力，Doctor Web发现其中一个仿冒工具声称可以分析、清理Fscan扫描器的输出结果。
攻击者还将恶意代码藏在Python和Go文件中，通过插入大段空白字符降低代码被发现的概率。部分仿冒安全工具甚至会直接卸载受害者设备上安装的杀毒软件。
Part02
恶意脚本禁用安全防护
受害者打开项目后，会触发PowerShell脚本运行。该脚本会连接攻击者的服务器，以及YouTube、Telegram、Google Docs、GitCode、Pastebin等合法平台，获取加密字符串中的压缩包链接。压缩包解压后会释放一个伪装成Windows照片组件的文件夹，主程序为Microsoft.exe，是基于Electron框架开发的模块化应用。
该主程序是主要的破坏模块。加载器首先收集系统信息，发送至攻击者控制的Telegram bot。它会维持自身持久运行、提权，关闭Windows Defender、UAC、系统还原和卷影副本等系统防护功能。它还会将自身加入Defender排除列表，向合法进程注入代码，卸载McAfee、ESET、Malwarebytes等第三方杀毒软件。
该恶意软件默认运行Mode3模式，叠加使用多种规避检测技术。它会伪造父进程、禁用Smart App Control、移除ntdll.dll上的安全软件钩子，直接发起系统调用，在内存中打补丁篡改事件追踪和杀毒脚本扫描逻辑。如果Mode3运行失败，程序会自动切换到Mode2模式，添加Defender排除项，通过PowerShell完成代码注入。
初始模块运行后会投放三类后续载荷。第一类是远程访问后门AsyncRAT，会在不同端口启动两个相同副本，大概率允许两名攻击者同时控制同一台设备。第二类是剪贴板劫持程序，会在截屏的同时替换剪贴板中的加密货币钱包地址。第三类是信息窃取程序，会收集浏览器数据、FileZilla、MobaXterm、Total Commander配置信息、VPN设置、即时通讯软件文件、游戏账号和Discord令牌。所有窃取到的数据会被打包压缩通过Telegram外传，恶意软件还会修改hosts文件，屏蔽杀毒厂商的域名。
Part03
恶意软件持续迭代更新
攻击者目前仍在持续开发这款恶意软件。Doctor Web发现了一个尚未完成的组件，具备注册为系统服务实现自启、文件被删除后重新下载Microsoft.exe、管理启动项、安装更新等功能。
报告总结道："攻击者正在持续更新木马，不断添加新功能。比如Doctor Web的研究人员发现了部分未启用的代码逻辑，可用于下载并解压另一个名为Lodge.7z的压缩包。压缩包内包含一个尚未开发完成的Electron项目，可执行文件名为WUDFHost.exe，其代码暴露了该木马未来计划加入的部分功能。"
Doctor Web建议用户保持杀毒软件版本更新，对所有下载的文件进行安全扫描。研究人员提醒，攻击者仍在不断迭代木马功能，后续可能加入更多新的攻击能力。
参考来源：
Fake GitHub Security Tools Infect Over 2,000 PCs With Malware
https://securityaffairs.com/202717/malware/fake-github-security-tools-infect-over-2000-pcs-with-malware.html
