Основы Интернет - технологий.

ИБ-эксперты и создатели опенсорсного лаунчера Minecraft, Prism Launcher, призывают пользователей немедленно прекратить загрузку и обновление модов для игры. Дело в том, что в ряде модов была обнаружена самораспространяющаяся малварь Fracturiser, атакующая системы под управлением Windows и Linux.

Учетные записи разработчиков зараженных модов размещались на платформе CurseForge. Причем некоторые из вредоносных файлов, использованных в атаках, датированы серединой апреля, то есть предполагается, что учетные записи были скомпрометированы еще несколько недель назад. Кроме того, Bukkit.org, платформа для разработчиков, управляемая CurseForge, тоже считается пострадавшей от атаки.

Представители Prism Launcher сообщают, что заражение «широко распространено» и перечисляют следующие моды в числе затронутых атакой.

CurseForge:

• Dungeons Arise


• Sky Villages


• Better MC серия модпаков


• Dungeonz


• Skyblock Core


• Vault Integrations


• AutoBroadcast


• Museum Curator Advanced


• Vault Integrations Bug fix


• Create Infernal Expansion Plus (мод удален с CurseForge)

Bukkit:

• Display Entity Editor


• Haven Elytra


• The Nexus Event Custom Entity Editor


• Simple Harvesting


• MCBounties


• Easy Custom Foods


• Anti Command Spam Bungeecord Support


• Ultimate Leveling


• Anti Redstone Crash


• Hydration


• Fragment Permission Plugin


• No VPNS


• Ultimate Titles Animations Gradient RGB


• Floating Damage

Использованное в этих атаках вредоносное ПО Fracturiser работает как в Windows так и в Linux. Малварь доставляется поэтапно, и цепочка заражения стартует после того, как пользователь запускает один из зараженных модов. На каждом последующем этапе происходит загрузка файлов с управляющего сервера, после чего атака переходит на следующий этап.

На этапе 3, который считается последним, происходит создание папки и скрипта, вносящего изменения в реестр, а также выполняются следующие действия:

• вредонос распространяет себя на все файлы JAR в файловой системе, что позволяет Fracturiser заражать другие моды, которые не были загружены с CurseForge или BukkitDev;


• хищение файлов cookie и информации для входа в ряд браузеров;


• подмена криптовалютных адресов в буфере обмена на альтернативные, принадлежащие хакерам;


• кража учетных данных Discord;


• кража учетных данных Microsoft и Minecraft.

Судя по образцам малвари, загруженным на VirusTotal (1, 2), пока далеко не все антивирусные решения обнаруживают Fracturiser.

Людям, которые хотят вручную проверить свои системы на наличие Fracturiser и признаков заражения, следует искать следующие индикаторы компрометации.

• Linux:~/.config/.data/lib.jar.


• Windows:


• искать файлы %LOCALAPPDATA%Microsoft EdgelibWebGL64.jar или ~AppDataLocalMicrosoft EdgelibWebGL64.jar;


• проверить реестр на наличие подозрительных записей в разделе HKEY_CURRENT_USER:oftwareMicrosoftWindowsCurrentVersionun;


• искать ярлык в %appdata%MicrosoftWindowstart MenuProgramstartup;


• искать необычные службы Systemd в /etc/systemd/system (вероятно, systemd-utility.service);


• проверить наличие файла %Temp%installer.jar.


• Прочие ОС: не затронуты.

Специалисты, расследующие этот инцидент, уже опубликовали скрипты для облегчения поиска перечисленных индикаторов. Кроме того, у CurseForge уже есть руководство по ликвидации заражения.

В социальных сетях представители CurseForge заявили, что «злоумышленник создал несколько учетных записей и загрузил на платформу проекты, содержащие вредоносное ПО». Также официальные лица заявили, что параллельно с этим учетная запись, принадлежащая разработчику модов Luna Pixel Studios (LPS), была взломана и тоже использовалась для загрузки аналогичного вредоносного ПО.

Luna Pixel Studios подтверждает в Discord, что один из ее разработчиков установил зараженный мод, что привело к компрометации всей цепочки поставок, и в итоге заражение повлияло на  многие модпаки.

Представители CurseForge уверяют, что уже заблокировали все учетные записи, имеющие отношение к атакам, а также отключили учетную запись LPS. «Мы находимся в прямом контакте с командой LPS, чтобы помочь им восстановить доступ», — гласит официальное заявление.

Всем пользователям, обнаружившим у себя заражение, настоятельно рекомендуется очистить свой компьютер, а лучше переустановить операционную систему. После этого следует изменить пароли от всех учетных записей на новые и уникальные. При смене паролей в первую очередь советуют сосредоточиться на конфиденциальных учетных записях, включая связанные с криптовалютой, электронной почтой, банковскими счетами и так далее.

Фото: Bleeping Computer