Niebezpiecznik

Ludzie w naszej branży lubią myśleć, że celem oszustów są “zwykli użytkownicy”. Tymczasem przestępcy wiedzą, że “techniczni” podejmują wiele ryzykownych zachowań, choć są to zachowania inne niż standardowe. Czy pobierając fragment kodu z Githuba zawsze miałeś pewność co do intencji jego twórcy?

Każdy wie, że na Githubie znajdują się repozytoria “śmieciowe”, częściowo niebezpieczne albo wręcz opracowane pod przekręt. Firma VulnCheck natyka się na nie regularnie w czasie swoich rutynowych prac. Zwykle kończy się to zgłoszeniem repozytorium i usunięciem go z Githuba, ale tego lata firma zauważyła coś bardziej niepokojącego – fałszywe repozytoria, które  konsekwentnie powracały po usunięciu. Ich twórcy włożyli trochę więcej pracy w to, aby wyglądały przekonująco. Strony na Githubie były ładnie zorganizowane, ze zdjęciem badacza i linkami do profili na Twitterze (również fałszywych). W profilach były linki do strony firmowej i choć linki nie działały to na pierwszy rzut oka wyglądały nieźle.

Oto przykładowa githubowa strona jednego z “badaczy”.

To był rzekomo Greg Sanderson z firmy High Sierra Cyber Security. Niestety trudno jest znaleźć działającą firmę o tej nazwie (nawet rekreacyjnie to sprawdziliśmy w rejestrach z ponad 140 krajów i nic). Zdjęcie da się połączyć Philem Stokesem z Sentinel One, cytowanym m.in. w niemieckiej prasie.

Na tę samą fałszywą tożsamość założono także konto na Twitterze, którego pozostałości są jeszcze w Archive.org.

Jak widzicie, na wpisy Sandersona reagowali Marko Hadzic i Andrei Kuzman. To też były fałszywe tożsamości (zarówno na Githubie jak i na Twitterze). Twarz rzekomego Andreia Kuzmana to tak naprawdę twarz Curta Barnarda z firmy Rapid7. Trochę problemów sprawiła nam twarz Marka Hadzica (fotki były kiepskiej jakości), ale ostatecznie  ustaliliśmy, że wykorzystano wizerunek Suna Knudsena wspomnianego na stronie nimblebubble.com. Tropienie kolejnych fałszywych kont i wykorzystanych twarzy mogłoby być fajną zabawą, ale pójdźmy dalej.

Dziura na Discordzie?

Na fałszywych repozytoriach znajdowały się rzekomo kody proof-of-concept pozwalające na wypróbowanie błędów, jakie fałszywi badacze mieli znaleźć w Chrome, Exchange albo Discordzie. Znane marki mogły przyciągać. Tak naprawdę kod zawarty w pythonowym skrypcie poc.py pobierał złośliwy plik binarny i uruchamiał go na komputerze (co nietrudno było przewidzieć po pobieżnej analizie kodu). Dostarczany payload był różny w zależności od systemu operacyjnego ofiary i co ciekawe payload dostosowany pod Linuksa miał znacznie niższy detection rate na VirusTotal niż payload windowsowy. Jeśli ktoś uważniej mu się przyjrzał to mógł zauważyć, że przestępcy niespecjalnie ukrywali naturę pliku.

W tym przypadku ktoś włożył dużo pracy w przekonujące fałszywe tożsamości, a mniej przejmował się tym, że malware wyglądał na malware. Niestety właśnie takie podejście mogło prowadzić do udanych ataków, a próby ponownego uruchamiania fałszywych kont sugerują, że to się przestępcom opłacało.

“Techniczni” na celowniku oszustów

Brak uwagi i skłonność do pewnych ryzyk to nie jest wyłącznie cecha osób “nieświadomych”, które “nie wiedzą co robią”. W rzeczywistości da się wykorzystać brak uwagi u każdego, nawet u technicznego guru. W Niebezpieczniku opisywaliśmy takie zjawiska jak np. zalewanie ekosystemu Pythona fałszywymi bibliotekami, a przecież ofiarami w tym przypadku mogli stawać się deweloperzy oraz inne osoby korzystające w pracy z języków programowania (np. analitycy danych).

Osoby techniczne też robią błędy pod wpływem emocji, zwłaszcza przy zetknięciu z jakimś obiektem pożądania. W branży bezpieczeństwa takim obiektem jest multi-narzędzie Flipper Zero, którego podaż jest ciągle znacznie mniejsza od popytu. Z tego powodu w sieci pojawiają się fałszywe strony rzekomo oferujące sprzedaż Flipperów. Przyjrzała się im m.in. firma MalwareBytes i zauważyła, że jeden z portfeli kryptowalut powiązanych z fałszywym sprzedawcą odnotował wpływy środków. To o czymś świadczy.

Motyw Flippera Zero był też wykorzystywany w kampaniach phishingowych, o czym donosił na Twitterze spec od bezpieczeństwa Dominic Alvieri. Tylko czy Alvieri to prawdziwy ekspert, czy tylko konto na Twitterze? No cóż. Nie dowiecie się póki nie sprawdzicie 😈.