Kluczowe dania na wynos
- Złośliwe narzędzie rozpowszechniało złośliwe oprogramowanie pod pozorem uproszczenia instalacji aplikacji na Androida w systemie Windows.
- Narzędzie działało zgodnie z reklamą, więc nie wywołało żadnych sygnałów ostrzegawczych.
-
Eksperci sugerują, aby ludzie obchodzili się z oprogramowaniem pobranym z witryn innych firm z najwyższą ostrożnością.
Tylko dlatego, że kod oprogramowania open source jest dostępny dla każdego, nie oznacza to, że wszyscy się na niego przyglądają.
Korzystając z tego, hakerzy dokooptowali skrypt Windows 11 ToolBox innej firmy w celu dystrybucji złośliwego oprogramowania. Na pozór aplikacja działa zgodnie z reklamą i pomaga dodać Sklep Google Play do systemu Windows 11. Jednak za kulisami zainfekowała również komputery, na których działała, wszelkiego rodzaju złośliwym oprogramowaniem.
„Jeśli jest jakaś rada, którą można by z tego wyciągnąć, to to, że przechwytywanie kodu w celu uruchomienia Internetu wymaga dodatkowej analizy” – powiedział Lifewire John Hammond, starszy badacz ds. bezpieczeństwa w Huntress.
Napad w świetle dziennym
Jedną z najbardziej oczekiwanych funkcji systemu Windows 11 była możliwość uruchamiania aplikacji na Androida bezpośrednio z poziomu systemu Windows. Jednak kiedy ta funkcja została ostatecznie wydana, ludzie byli ograniczeni do instalowania kilku wybranych aplikacji z Amazon App Store, a nie ze sklepu Google Play, jak ludzie się spodziewali.
Było trochę wytchnienia, ponieważ podsystem Windows dla Androida pozwalał ludziom na sideloading aplikacji za pomocą Android Debug Bridge (adb), w istocie pozwalając na instalację dowolnej aplikacji dla Androida w Windows 11.
Aplikacje wkrótce zaczęły pojawiać się na GitHubie, takie jak podsystem Windows dla Android Toolbox, który uprościł instalowanie dowolnej aplikacji na Androida w systemie Windows 11. Jedna z takich aplikacji o nazwie Powershell Windows Toolbox również oferowała tę możliwość wraz z kilkoma innymi opcjami, na przykład, aby usunąć wzdęcia z instalacji systemu Windows 11, dostosować go pod kątem wydajności i nie tylko.
Jednak aplikacja działała zgodnie z reklamą, ale skrypt potajemnie uruchamiał serię zaciemnionych, złośliwych skryptów PowerShell w celu zainstalowania trojana i innego złośliwego oprogramowania.
Jeśli jest jakaś rada, którą można by z tego wyciągnąć, to jest to, że chwytanie kodu w celu uruchomienia internetu wymaga dodatkowej analizy.
Kod skryptu był oprogramowaniem typu open source, ale zanim ktokolwiek zechciał spojrzeć na jego kod w celu wykrycia zaciemnionego kodu, który pobrał złośliwe oprogramowanie, skrypt zarejestrował setki pobrań. Ale ponieważ skrypt działał zgodnie z reklamą, nikt nie zauważył, że coś jest nie tak.
Na przykładzie kampanii SolarWinds z 2020 roku, która zainfekowała wiele agencji rządowych, Garret Grajek, dyrektor generalny YouAttest, wyraził opinię, że hakerzy odkryli, że najlepszym sposobem na wprowadzenie złośliwego oprogramowania do naszych komputerów jest zmuszenie nas do samodzielnego zainstalowania go.
„Czy to poprzez zakupione produkty, takie jak SolarWinds, czy poprzez open source, jeśli hakerzy mogą wprowadzić swój kod do „legalnego” oprogramowania, mogą zaoszczędzić wysiłek i wydatki związane z wykorzystywaniem hacków zero-day i szukaniem luk w zabezpieczeniach”, Grajek powiedział Lifewire przez e-mail.
Nasser Fattah, przewodniczący Komitetu Sterującego w Ameryce Północnej w Shared Assessments, dodał, że w przypadku Powershell Windows Toolbox trojan spełnił swoją obietnicę, ale miał ukryty koszt.
„Dobre złośliwe oprogramowanie trojana to takie, które zapewnia wszystkie możliwości i funkcje, które reklamuje… plus więcej (złośliwe oprogramowanie)”, powiedział Fattah Lifewire przez e-mail.
Fattah zwrócił również uwagę, że użycie przez projekt skryptu Powershell było pierwszym sygnałem, który go przestraszył.„Musimy być bardzo ostrożni przy uruchamianiu wszelkich skryptów Powershell z Internetu. Hakerzy wykorzystują i będą nadal wykorzystywać Powershell do dystrybucji złośliwego oprogramowania” – ostrzegł Fattah.
Hammond się zgadza. Przeglądając dokumentację projektu, który został wyłączony przez GitHub, sugestia uruchomienia interfejsu poleceń z uprawnieniami administratora i uruchomienia wiersza kodu, który pobiera i uruchamia kod z Internetu, wywołała dla niego dzwonki ostrzegawcze.
Wspólna odpowiedzialność
David Cundiff, dyrektor ds. bezpieczeństwa informacji w firmie Cyvatar, uważa, że z tego normalnie wyglądającego oprogramowania ze złośliwymi wnętrzami można wyciągnąć kilka lekcji.
„Bezpieczeństwo to wspólna odpowiedzialność, jak opisano w podejściu do bezpieczeństwa GitHub” – wskazał Cundiff. „Oznacza to, że żaden podmiot nie powinien całkowicie polegać na pojedynczym punkcie awarii w łańcuchu”.
Ponadto poradził, aby każdy, kto pobiera kod z GitHub, miał oczy szeroko otwarte na znaki ostrzegawcze, dodając, że sytuacja powtórzy się, jeśli ludzie będą działać z założeniem, że wszystko będzie w porządku, ponieważ oprogramowanie jest hostowane na zaufana i renomowana platforma.
„Podczas gdy Github jest renomowaną platformą do udostępniania kodu, użytkownicy mogą dzielić się dowolnymi narzędziami zabezpieczającymi zarówno dla dobra, jak i zła” – zgodził się Hammond.
