Elastic Security Labs: Не пускайте флаги в гости

Cпециалисты Elastic Security Labs обнаружили подозрительную публикацию о вакансии в сообществе Slack, а после и стоящую за ней хакерскую кампанию. Автор объявления предлагал кандидатам поучаствовать в обновлении интернет-магазина, отправляя в личные сообщения тестовый проект — репозиторий выглядел легитимно и запускался без ошибок, но, как оказалось, устанавливал на компьютер адресата набор вредоносных модулей.

Фрагменты полезной нагрузки находились в комментариях внутри файлов SVG с изображениями государственных флагов. JavaScript-сценарий собирал части по алфавиту, декодировал полученную строку и запускал код при каждом старте серверной части проекта. Это помогало спрятать малварь среди обычных ресурсов приложения.

После запуска зловред похищал сохранённые пароли из браузеров, данные расширений криптокошельков, файлы конфигурации, ключи SSH, содержимое каталогов AWS и Azure, историю команд и даже исходный код; в случае macOS — копировал базу системной связки ключей, а также отслеживал буфер обмена каждые 500 миллисекунд. Помимо этого, атакующий мог выполнять команды на заражённой машине и получать результаты в реальном времени.

В этом свете безопасники порекомендовали внимательно проверять присылаемые тестовые задания, изучать сценарии запуска и не выполнять чужие проекты на рабочих компьютерах с доступом к ключам, облачным учётным данным и корпоративным системам.