Perisian Hasad GodLoader

Enjin Godot sumber terbuka yang popular, alat yang digunakan secara meluas untuk membangunkan permainan 2D dan 3D, telah menjadi pusat ancaman siber baharu yang dikenali sebagai kempen GodLoader. Sejak sekurang-kurangnya Jun 2024, kempen mengancam ini telah menjejaskan lebih 17,000 sistem dengan mengeksploitasi keupayaan skrip platform untuk melaksanakan kod berbahaya.

Alat Dipercayai Menjadikan Vektor Ancaman

Kepelbagaian Enjin Godot, menyokong pembangunan merentas Windows, macOS, Linux, Android, iOS dan konsol permainan yang penting, juga telah menjadikannya alat yang menarik untuk penjenayah siber. Dengan memanfaatkan fleksibiliti Godot, penyerang membenamkan kod GDScript yang rosak ke dalam boleh laku tersuai untuk melancarkan perisian hasad, memintas hampir semua mekanisme pengesanan anti-perisian hasad. Kempen ini menyerlahkan cara alat sumber terbuka yang dipercayai boleh dipersenjatai terhadap pengguna mereka.

Bagi 1.2 juta individu yang berinteraksi dengan permainan yang dibina menggunakan Godot, implikasinya melangkaui keselamatan peranti peribadi kepada potensi bahaya kepada ekosistem permainan yang lebih luas. Ia menggariskan keperluan mendesak bagi pemaju dan industri untuk mengguna pakai langkah keselamatan siber proaktif merentas platform.

Cara GodLoader Beroperasi: Strategi Pengedaran Pelbagai Muka

Apa yang membezakan kempen ini ialah penggunaan GitHub yang canggih sebagai vektor pengedaran. Penyerang menggunakan Rangkaian Hantu Stargazers, yang merangkumi kira-kira 200 repositori GitHub dan lebih 225 akaun penipuan. Akaun ini 'membintangi' repositori penipuan, menjadikannya kelihatan sah kepada pengguna yang tidak curiga.

Kempen ini telah berkembang dalam empat gelombang yang berbeza—pada 12 September, 14 September, 29 September dan 3 Oktober 2024—mensasarkan pembangun, pemain permainan dan pengguna umum. Semasa setiap serangan, Godot Engine boleh laku (fail.PCK) digunakan untuk memasang perisian hasad GodLoader. Pemuat ini kemudiannya mendapatkan semula muatan akhir, seperti RedLine Stealer dan pelombong mata wang kripto XMRig , daripada repositori Bitbucket.

Taktik Pengelakan Lanjutan: Pengesanan Mengelak

Kejayaan GodLoader adalah disebabkan oleh teknik pengelakan lanjutannya. Ia memintas persekitaran maya dan analisis kotak pasir, dengan berkesan melumpuhkan pengesanan dalam persekitaran keselamatan terkawal. Tambahan pula, perisian hasad memanipulasi Microsoft Defender Antivirus dengan menambahkan keseluruhan pemacu C:\ ke senarai pengecualian, memastikan aktivitinya kekal tidak dapat dikesan pada sistem yang dijangkiti.

Walaupun kempen semasa menyasarkan peranti Windows, penyelidik memberi amaran bahawa ia boleh disesuaikan dengan mudah untuk sistem macOS dan Linux. Seni bina platform-agnostik Godot membolehkan penyerang membangunkan muatan untuk berbilang sistem pengendalian, dengan ketara meningkatkan jangkauan dan impak kempen.

Potensi untuk Eksploitasi Lebih Besar

Penyerang terutamanya menggunakan laksana Godot tersuai untuk menyebarkan perisian hasad. Walau bagaimanapun, penyelidik memberi amaran tentang ancaman yang lebih besar: mengganggu permainan yang sah yang dibina Godot. Dengan mendapatkan kunci penyulitan simetri yang digunakan untuk mengekstrak fail PCK, penjenayah siber boleh memanipulasi fail permainan tulen untuk menyampaikan muatan berniat jahat.

Beralih kepada kriptografi kunci asimetri—di mana pasangan kunci awam dan persendirian digunakan untuk penyulitan dan penyahsulitan—boleh mengurangkan risiko sedemikian. Pendekatan ini akan menjadikannya lebih sukar bagi penyerang untuk menjejaskan perisian yang sah.

Maklum Balas Pasukan Keselamatan Godot

Berdasarkan penemuan ini, Pasukan Keselamatan Godot menekankan kepentingan memuat turun boleh laku hanya daripada sumber yang dipercayai. Mereka menggesa pengguna untuk memastikan fail ditandatangani oleh entiti yang bereputasi dan mengelak daripada menggunakan perisian yang retak atau tidak disahkan. Walaupun mana-mana bahasa pengaturcaraan boleh digunakan untuk mencipta perisian hasad, keupayaan skrip Godot tidak lebih atau kurang terdedah kepada penyalahgunaan berbanding platform serupa seperti Python atau Ruby.

Implikasi yang Lebih Luas: Amanah dan Kewaspadaan

Kempen GodLoader menunjukkan cara penyerang mengeksploitasi platform yang sah untuk memintas kawalan keselamatan dan mengedarkan perisian yang mengancam. Dengan seni bina Godot yang membolehkan penghantaran muatan bebas platform, penjenayah siber boleh menyasarkan peranti dengan cekap merentas pelbagai sistem pengendalian, termasuk Windows, Linux dan macOS.

Gabungan kempen rangkaian pengedaran yang sangat disasarkan dan mekanisme penghantaran yang tersembunyi telah mengakibatkan jangkitan yang meluas, menjadikannya alat yang menggerunkan dalam senjata penyerang. Situasi ini merupakan peringatan yang menyedihkan bagi pengguna supaya berhati-hati dan memuat turun perisian hanya daripada sumber yang disahkan.

Panggilan untuk Keselamatan Siber yang Lebih Kuat

Apabila kempen GodLoader terus berkembang, ia berfungsi sebagai panggilan bangun untuk pembangunan perisian dan industri permainan. Langkah keselamatan yang teguh, alat pengesanan ancaman merentas platform dan kemajuan penyulitan adalah penting untuk mengurangkan risiko tersebut. Dengan mengutamakan keselamatan siber pada setiap peringkat—daripada pembangunan hingga penggunaan—industri boleh mengurangkan kemungkinan ancaman serupa yang menjejaskan kepercayaan dan keselamatan penggunanya.