11月6日、BleepingComputerが「Fake security tools on GitHub push backdoors and infostealers」と題した記事を公開した。GitHubにセキュリティツールを偽装した悪意のあるリポジトリが公開され、バックドアと情報窃取マルウェアが配布されている攻撃キャンペーンについて詳しく報告している。
約2年前に始まったこのキャンペーンは、当初は暗号資産ユーザーを狙っていた。それが今やネットワークスキャナーやログ解析ツールを偽装したリポジトリでセキュリティエンジニアを直接標的にするよう進化している。自分が日常的に使うツール類に対して警戒心が緩む——その心理的盲点を攻撃者は狙い澄ましている。GitHubはオープンソースの中心地である一方、ソフトウェアサプライチェーン攻撃の文脈でマルウェア配布の経路としても悪用されるケースが急増しており、このキャンペーンはその最前線にある。
セキュリティエンジニアを狙い打ち——偽ツールリポジトリが2,000台以上に感染
サイバーセキュリティ企業Dr. Webの調査によると、現在はスキャン自動化、セキュリティテスト、ログ解析といった用途のツールを偽装したリポジトリが公開されており、これまでに確認された感染Windowsシステムは2,000台以上にのぼる。
確認された偽リポジトリの一例は、ネットワークスキャナーFscanの出力を整形・クリーニングする軽量スクリプトとして宣伝されたものだ。見た目は業務で使えそうなユーティリティだが、内部には悪意のあるコードが仕込まれている。セキュリティエンジニアがターゲットである点が重要で、後述するようにアンチウイルスを積極的に無効化する機能群はそうした被害者像を前提に設計されている。
感染の仕組み——ホワイトスペース隠蔽からElectronローダーまで
悪意のあるコードはVisual Studioのプロジェクトファイル、Pythonスクリプト、Goのソースファイルに埋め込まれており、大量の空白（ホワイトスペース）の後ろにコードを隠す手法が使われている。コードエディタやdiffツールで一見しただけでは気づきにくい。Visual Studioプロジェクトではビルド前イベント（pre-build event）としてコードを実行させることで、コンパイル前に悪意のある処理を走らせる。
感染チェーンの流れは以下のとおりだ：
- PowerShellが暗号化されたダウンロードリンクを取得
Microsoft.exeという名前のElectronベースのモジュール型ローダーをダウンロード- ローダーがホスト上で永続化を確立し、権限昇格、Windowsセキュリティ機能・回復機能の無効化、正規プロセスへのマルウェア注入を実行
Electronベースのローダーを使う理由は、正規アプリケーションとの区別を難しくするためと考えられる。Microsoft.exeという命名も疑いを持ちにくくする意図が透けて見える。
6つのセキュリティ回避技術（Mode3）
ローダーのデフォルト動作モードであるMode3では、以下の6つのセキュリティ回避技術が確認されている：
explorer.exeをマルウェアの親プロセスに偽装- Windowsレジストリ値を書き換えてSmart App Control（Windows 11のセキュリティ機能）を無効化
ntdll.dllのコードをディスクから元のものに書き戻し、セキュリティソフトが追加したフックを除去- Windowsシステムコールを直接呼び出してセキュリティツールによる傍受を回避
- メモリ上の
EtwEventWriteをパッチして**ETW（Event Tracing for Windows）**を抑制 - メモリ上の
AmsiScanBufferをパッチして**AMSI（Antimalware Scan Interface）**によるスクリプトスキャンを無効化
Mode3が失敗した場合はMode2にフォールバックし、Microsoft Defenderの除外設定を追加した上でPowerShellスクリプトでRegAsm.exeにペイロードを注入する。複数のフォールバック経路を持つ構成は、このキャンペーンの高い技術水準を示している。
最終ペイロード——RAT、クリッパー、情報窃取マルウェアの三点セット
最終的に展開されるマルウェアは3種類だ：
- **AsyncRAT**：バックドアとして機能するリモートアクセス型トロイの木馬
- クリッパーマルウェア：クリップボード上の暗号資産ウォレットアドレスをすり替える
- インフォスティーラー：ブラウザデータ、VPN設定、FTPクライアントの設定ファイル、ゲームアカウント情報、Discordトークンを収集し、Telegramボット経由で外部送信する
さらに、マルウェアはESET、McAfee、Malwarebytesのアンチウイルスソフトをアンインストールしようとし、各ベンダーのアップデートサーバーへの接続を遮断した上で、Windowsのバックアップ機能にも干渉する。セキュリティ製品を積極的に排除する機能が揃っている点は、被害者がセキュリティエンジニアである可能性を想定した設計と読める。
また、ローダーが削除された場合に再ダウンロードして継続動作させる機能を持つ未完成のコンポーネントも発見されており、攻撃者が現在もマルウェアの機能追加を進めていることが示唆されている。
対策と侵害指標（IoC）
Dr. WebはこのキャンペーンのIoCの完全なリストをGitHub上で公開している。GitHubからダウンロードしたセキュリティ関連ツールを扱う際は、Visual Studioのプロジェクトファイルやスクリプトに不審なpre-buildイベントや長大な空白が含まれていないかを確認したい。信頼できる組織のリポジトリであっても、ビルド前後の挙動を検証する習慣が今後一層求められる。
詳細はFake security tools on GitHub push backdoors and infostealersを参照していただきたい。
