Des chercheurs de l’équipe de sécurité de Talos de Cisco ont découvert un opérateur de logiciel malveillant en tant que service qui a utilisé des comptes de github publics comme canal pour distribuer un assortiment de logiciels malveillants aux cibles.
L’utilisation de GitHub a donné aux logiciels malveillants en tant que service (MAAS) une plate-forme fiable et facile à utiliser qui est GreenLit dans de nombreux réseaux d’entreprise qui s’appuient sur le référentiel de code pour le logiciel qu’ils développent. GitHub a supprimé les trois comptes qui ont hébergé les charges utiles malveillantes peu de temps après avoir été informés par Talos.
« En plus d’être un moyen facile d’hébergement de fichiers, le téléchargement des fichiers à partir d’un référentiel GitHub peut contourner le filtrage Web qui n’est pas configuré pour bloquer le domaine Github », a écrit jeudi les chercheurs de Talos Chris Neal et Craig Jackson. «Alors que certaines organisations peuvent bloquer GitHub dans leur environnement pour freiner l’utilisation de l’outillage offensif open source et d’autres logiciels malveillants, de nombreuses organisations avec des équipes de développement de logiciels ont besoin d’un accès GitHub à une certaine manière. Dans ces environnements, un téléchargement de github malveillant peut être difficile à se différencier du trafic Web régulier.»
Emmenhtal, rencontre Amadey
La campagne, qui, selon Talos, était en cours depuis février, a utilisé un chargeur de logiciel malveillant auparavant connu sous des noms tels que Emmenhtal et Peaklight. Des chercheurs de la société de sécurité Palo Alto Networks et de la principale agence de cyber-agence d’État d’Ukraine SSSCIP avaient déjà documenté l’utilisation d’Emmenhtal dans une campagne distincte qui a intégré le chargeur dans des e-mails malveillants pour distribuer des logiciels malveillants aux entités ukrainiennes. Talos a trouvé la même variante Emmenhtal dans l’opération MAAS, mais cette fois, le chargeur a été distribué via GitHub.
La campagne utilisant Github était différente de celle ciblant les entités ukrainiennes d’une autre manière clé. Alors que la charge utile finale de celle des entités ukrainiennes était une porte dérobée malveillante connue sous le nom de SmokeLoader, le Github One a installé Amadey, une plate-forme malveillante distincte connue. Amadey a été vu pour la première fois en 2018 et a été initialement utilisé pour assembler des botnets. Talos a déclaré que la fonction principale d’Amadey est de collecter les informations du système à partir d’appareils infectés et de télécharger un ensemble de charges utiles secondaires personnalisées à leurs caractéristiques individuelles, en fonction de l’objectif spécifique dans différentes campagnes.