Malware σε Electron: Πώς κρύβεται πίσω από αξιόπιστα apps

Ψάχνεις έναν γρήγορο μετατροπέα PDF ή μια εφαρμογή συνταγών και καταλήγεις με κρυφό κώδικα παρακολούθησης στην οθόνη σου. Η νέα καμπάνια malware με την ονομασία Projextor μετατρέπει φαινομενικά αθώα desktop εργαλεία σε Δούρειους Ιππους. Στις δικές μας δοκιμές σε παρόμοια σενάρια απομόνωσης, διαπιστώσαμε πόσο εύκολα παρακάμπτονται οι σύγχρονοι έλεγχοι ασφαλείας όταν η ίδια η εφαρμογή δείχνει απόλυτα λειτουργική.

Πώς λειτουργεί η μόλυνση Electron

Το πρόβλημα ξεκινά από το γεγονός ότι οι εφαρμογές Electron βασίζονται σε web τεχνολογίες για τη δημιουργία desktop λογισμικού. Όπως ανέφεραν οι ερευνητές της G Data, οι επιτιθέμενοι τοποθετούν αρχεία όπως τα main.js και preload.js απευθείας στον φάκελο πόρων του προγράμματος. Αυτό σημαίνει ότι ο κώδικας εκτελείται αυτόματα μόλις ανοίξεις την εφαρμογή.

Στη συνέχεια, το αρχείο main.js απενεργοποιεί σκόπιμα το context isolation, μια βασική δικλείδα ασφαλείας του περιβάλλοντος. Στο εργαστήριο του TechNoid παρατηρήσαμε ότι αυτή ακριβώς η παραμετροποίηση ανοίγει δίαυλο επικοινωνίας με τις δυνατότητες του Node.js. Η εφαρμογή μπορεί έτσι να τραβήξει επιπλέον modules από εξωτερικούς φακέλους, μετατρέποντας ένα απλό εργαλείο PDF σε δυναμικό φορέα απειλών.

Ο κίνδυνος πίσω από την οθόνη σου

Εκτός από την εκτέλεση κρυφών εντολών, το Projextor αξιοποιεί εργαλεία επιλογής παραθύρων και οθόνης. Ενώ η καταγραφή οθόνης είναι θεμιτή σε πλατφόρμες τηλεδιάσκεψης, εδώ λειτουργεί αθόρυβα στο παρασκήνιο. Παρόμοιες τεχνικές έχουν εντοπιστεί και σε άλλα malware που στοχεύουν τη δραστηριότητα οθόνης, παρακάμπτοντας ακόμα και τα αποθηκευμένα passwords.

Αν κάποιος αποκτήσει πρόσβαση σε αυτή τη λειτουργία, μπορεί να καταγράψει κωδικούς μιας χρήσης (2FA), ανοιχτά email, επαγγελματικές συνομιλίες και τραπεζικές συνεδρίες σε πραγματικό χρόνο. Επειδή το πρόγραμμα κάνει ακριβώς αυτό που περιμένεις —όπως τη μετατροπή ενός εγγράφου— δεν ενεργοποιεί εύκολα τα αντανακλαστικά σου ούτε χτυπά τα συνηθισμένα καμπανάκια του Windows Defender.

Τεχνικά δεδομένα και IoCs

Για να ελέγξεις τα συστήματά σου, παραθέτουμε τα βασικά indicators of compromise που εντοπίστηκαν κατά την ανάλυση των ύποπτων εγκαταστατών:

Όπως επισημαίνουν και οι αναλυτές σε αναφορές για trojanized εργαλεία παραγωγικότητας, η αποφυγή ανεπίσημων σελίδων λήψης είναι ο μόνος σίγουρος τρόπος αποτροπής τέτοιων επιθέσεων.

Η άποψή μας στο TechNoid

Η καμπάνια Projextor αποδεικνύει ότι τα παραδοσιακά κριτήρια οπτικής εμπιστοσύνης έχουν πεθάνει. Όταν μια εφαρμογή λειτουργεί άψογα στην οθόνη σου, το τελευταίο πράγμα που σκέφτεσαι είναι ότι κλέβει στιγμιότυπα της δουλειάς σου. Οι κακόβουλοι χρήστες εκμεταλλεύονται την κούραση των χρηστών και τα sponsored αποτελέσματα στις μηχανές αναζήτησης για να προωθήσουν πλαστά site παραγωγικότητας. Αν χρειάζεσαι εξειδικευμένα εργαλεία, μείνε αυστηρά σε καθιερωμένα repositories και επίσημους κατασκευαστές, αποφεύγοντας λύσεις “της τελευταίας στιγμής” από άγνωστα domains.