GitHub上出现伪装成安全工具的恶意项目，传播后门与信息窃取程序

网络安全专业人员正成为 GitHub 上受感染安全项目的攻击目标，这些项目会部署后门和信息窃取恶意软件。

该活动大约始于两年前，最初针对加密钱包用户，但最近威胁行为者转移了重点，发布了用于自动化扫描、安全测试和日志分析的恶意仓库。

网络安全公司 Dr. Web 的研究人员发现，迄今为止已有超过 2,000 台 Windows 系统遭到入侵。

他们发现的一个恶意仓库是一个伪装的脚本，被宣传为一种轻量级解决方案，用于解析、清理和格式化 Fscan 网络扫描器的输出。

此前的诱饵包括区块链游戏、机器人和作弊工具，通常针对区块链和游戏爱好者。

Dr. Web 的调查发现，恶意代码嵌入在 Visual Studio 项目文件、Python 脚本和 Go 源文件中，隐藏在长段空白之后，这是一种古老但仍然有效的技术。

研究人员表示，在一些 Visual Studio 项目中，预构建事件例程会在编译前运行代码。

感染链使用 PowerShell 获取一个加密的下载链接，该链接会获取一个名为“Microsoft.exe”的模块化基于 Electron 的加载器。

该加载器在受感染主机上建立持久性，提升权限，禁用 Windows 安全与恢复功能，并将下一阶段（恶意软件）注入合法进程。

Dr. Web 描述了该加载器 Mode3 模式（其默认操作模式）中的六种规避技术：

如果该模式启动失败，加载器会使用 Mode2，该模式会添加 Microsoft Defender 排除项，并使用 PowerShell 脚本解密并将有效载荷注入“RegAsm.exe”。

传送到主机的最终有效载荷是 AsyncRAT 后门、替换剪贴板中加密钱包地址的剪贴板劫持恶意软件，以及一个信息窃取程序。

该信息窃取程序收集浏览器数据、VPN 设置、FTP 客户端配置文件、游戏账户数据和 Discord 令牌，并通过 Telegram 机器人窃取这些详细信息。

据 Dr. Web 称，该恶意软件还试图从受感染计算机中移除 ESET、McAfee 和 Malwarebytes 防病毒工具，试图断开它们与其更新服务器的连接，并干扰 Windows 备份。

Dr. Web 研究人员还发现了一个看似未完成的组件，它可能有助于保持加载器运行，并在其从主机磁盘被移除时重新下载它。

这一发现表明，威胁行为者正在努力为该恶意软件添加新功能。研究人员分享了此次活动中观察到的完整入侵指标列表。

Adaptive Security 的 AI 代理分析电子邮件意图、上下文和行为，以发现网络钓鱼、商业电子邮件入侵和发票欺诈。

通过对 Microsoft 365 或 Google Workspace 进行 14 天的只读扫描，了解哪些内容正在通过，无需更改 MX。

虚假的 LastPass Authenticator GitHub 仓库推送新的 Rapuncel 信息窃取程序

Vercel 推出针对被盗会话 cookie 攻击的新保护措施

LiteLLM 发布管道被黑客入侵以分发信息窃取恶意软件

OVHcloud CLI 在 GitHub 上的发布被植入后门以窃取开发者机密

MacSync 恶意软件利用公共 iCloud 日历传递新有效载荷