Platforma Microsoftu dostarczała złośliwe oprogramowanie

MSBuild jest platformą programistyczną firmy Microsoft o otwartym kodzie źródłowym, która służy do opracowywania aplikacji. To narzędzie może tworzyć programy w dowolnym systemie Windows, jeśli zostanie dostarczone z plikiem projektu schematu XML informującym go, jak zautomatyzować proces kompilacji (kompilacja, pakowanie, testowanie i wdrażanie).

Badacze z Anomali Threat Research odkryli, iż cyberprzestępcy przygotowali złośliwe ładunki za pomocą Microsoft Build Engine umieszczając je w środku pliku konfiguracyjnego XML. Analitycy Anomali Threat przyznali, że choć nie potrafili określić metody dystrybucji pliku proj., jego celem było uruchomienie trojanów Remcos lub RedLine Stealer. Cyberprzestępcy zapoczątkowali atak w ubiegłym miesiącu i byli aktywni jeszcze we wtorek, dwa dni przed ujawnieniem kampanii przez Anomali Threat Research. Po zainstalowaniu trojana RAT w systemie docelowym, może on być wykorzystany do zbierania poświadczeń, migawek ekranu, rejestrowania naciśnięć klawiszy czy wyłączania antywirusa chroniącego przed złośliwym oprogramowaniem.

Korzystanie z narzędzia programistycznego MSBuild firmy Microsoft przez cyberprzestępców jest wyjątkowo niebezpiecznym procederem, ponieważ złośliwe pliki są ładowane bezpośredniego do pamięci atakowanego komputera.

- Bezplikowe szkodliwe oprogramowanie nie zapisuje na urządzeniach ofiar rzeczywistych plików, a na dyskach twardych zainfekowanych urządzeń nie pozostawia fizycznych śladów po złośliwych ładunkach. Nie wszystkie programy antywirusowe radzą sobie z wykrywaniem tego typu zagrożeń. Dlatego podczas wyboru aplikacji bezpieczeństwa warto zapoznać się z wynikami niezależnych badań przeprowadzanych przez AV-Test czy AV-Comparatives właśnie pod kątem wykrywalności bezplikowego malware’u. - tłumaczy Mariusz Politowicz z firmy Marken, dystrybutora Bitdefender w Polsce.

Według VirusTotal próbki złośliwego oprogramowania użyte w kampanii ujawnionej przez Anomali Threat Research nie są wykrywane, albo są odnajdywane przez nieliczne silniki chroniące przed złośliwym oprogramowaniem.

Jak wynika z raportu WatchGuard Internet Security opublikowanego pod koniec marca, dostawa bezplikowego szkodliwego oprogramowania odnotowała w latach 2019-2020 wzrost o 888 proc.

Źródło: marken.com.pl; bitdefender.pl