Trojanac u Visual Studio projektima ostavlja zamke za razvojne inženjere
Jednog vrlo sposobnog trojanca koji krade podatke i truje projekte na kojima se radi kako bi zarazio nove žrtve, krajem 2025 otkrila je firma Doctor Web. Zaraza stiže kroz kompromitovane programe i Python skripte. Kroz nekoliko faza otvara backdoor pod kodnim imenom BackDoor.Siggen2.5906. Krade lozinke, kolačiće, Discord i Telegram naloge i fajlove iz Exodus novčanika. Prati šta se kopira u clipboard: presreće brojeve platnih kartica i podmeće adrese sumnjivih kripto-novčanika umesto onih koje korisnik kopira. Može i da izvršava komande, izvlači podatke i kopa kriptovalute na tuđem računaru, ali najopasniji deo priče je inficiranje razvojnih projekata. U projektne fajlove Visual Studia (.vcxproj, .csproj) ubacuje komandu koja se pokreće čim započne build. Zaraženi .suo fajl pokreće se već pri otvaranju projekta. Nakon toga pravi izmene u deljenim bibliotekama i gotovim .exe fajlovima, pa se i dodatno integriše u programski kod kreiran na mašini. Adrese svojih servera krije na GitHubu i Steam profilima, pa se komandna infrastruktura otežano blokira. Za sada, Doctor Web nije objavio koliko je korisnika pogođeno ovom zarazom.
Razvojni projekat se obično posmatra kao sadržaj za pregled, a ne potencijalni izvor problema. Projektni fajlovi u sebi nose podešavanja i komande koje build sistemi pokreću sa visokim pravima, što trojancu omogućava neometano sprovođenje svojih aktivnosti i daje napadaču priliku da svoj maliciozni kod ubaci u repozitorijume, build artefakte i programe koji se u lancu izvršavanja smatraju podrazumevano pouzdanim. Kao kukavičje jaje: podmetne se jednom, i održavaju ga svi koji rade na projektu. Posebno su izloženi mali timovi koji projekte otvaraju i kompajliraju na radnim mašinama, bez izolovanog okruženja i pojačanog nadzora izmena u projektnim fajlovima.
- Pregledaj .vcxproj i .csproj fajlove na neočekivane PreBuildEvent i Exec komande koje zovu PowerShell, cmd, wscript ili curl
- Ne otvaraj i ne kompajliraj nepoznate Visual Studio projekte na mašini sa produkcionim ključevima, tokenima i pristupom repozitorijumima
- Pokreći izgradnju nepoznatih projekata u izolovanoj virtuelnoj mašini ili jednokratnom CI okruženju sa najmanjim potrebnim privilegijama
- Proveri izmene u .suo fajlovima, imgui_impl_win32.cpp, winnetwk.h i Windows SDK zaglavljima, a binarne fajlove ponovo napravi na čistom sistemu
- Prati mutex objekte Global\PFNMX i global\PFNX_side i neuobičajene veze ka raw GitHub sadržaju i Steam profilima iz build procesa