GodLoader skadelig programvare

Den populære åpen kildekode Godot Engine, et verktøy som er mye brukt for å utvikle 2D- og 3D-spill, har blitt midtpunktet i en ny cybertrussel kjent som GodLoader-kampanjen. Siden minst juni 2024 har denne truende kampanjen kompromittert over 17 000 systemer ved å utnytte plattformens skriptfunksjoner for å utføre skadelig kode.

Et pålitelig verktøy ble til trusselvektor

Godot Engines allsidighet, som støtter utvikling på tvers av Windows, macOS, Linux, Android, iOS og betydelige spillkonsoller, har også gjort det til et tiltalende verktøy for nettkriminelle. Ved å utnytte Godots fleksibilitet, bygger angripere inn ødelagt GDScript-kode i tilpassede kjørbare filer for å starte skadelig programvare, og omgår nesten alle anti-malware-deteksjonsmekanismer. Denne kampanjen fremhever hvordan pålitelige verktøy med åpen kildekode kan bli bevæpnet mot brukerne deres.

For de 1,2 millioner individene som samhandler med spill bygget ved hjelp av Godot, strekker implikasjonene seg utover personlig enhetssikkerhet til potensiell skade på det bredere spilløkosystemet. Det understreker at det haster for utviklere og industrien å ta i bruk proaktive cybersikkerhetstiltak på tvers av plattformer.

Hvordan GodLoader opererer: En distribusjonsstrategi med mange faser

Det som skiller denne kampanjen er den sofistikerte bruken av GitHub som en distribusjonsvektor. Angriperne bruker Stargazers Ghost Network, som inkluderer omtrent 200 GitHub-depoter og over 225 uredelige kontoer. Disse kontoene "stjerner" de uredelige depotene, slik at de fremstår som legitime for intetanende brukere.

Kampanjen har utviklet seg i fire forskjellige bølger – 12. september, 14. september, 29. september og 3. oktober 2024 – rettet mot utviklere, spillere og generelle brukere. Under hvert angrep blir Godot Engine kjørbare (.PCK-filer) distribuert for å installere GodLoader malware. Denne lasteren henter deretter endelig nyttelast, slik som RedLine Stealer og XMRig kryptovalutagruvearbeider, fra et Bitbucket-lager.

Avansert unndragelsestaktikk: Unngå deteksjon

GodLoaders suksess tilskrives dens avanserte unnvikelsesteknikker. Den omgår det virtuelle miljøet og sandkasseanalysen, og deaktiverer effektivt deteksjon i kontrollerte sikkerhetsmiljøer. Videre manipulerer skadelig programvare Microsoft Defender Antivirus ved å legge til hele C:\-stasjonen til ekskluderingslisten, og sikrer at aktivitetene forblir uoppdaget på infiserte systemer.

Selv om den nåværende kampanjen er rettet mot Windows-enheter, advarer forskere om at den enkelt kan tilpasses for macOS- og Linux-systemer. Godots plattformagnostiske arkitektur gjør det mulig for angripere å utvikle nyttelast for flere operativsystemer, noe som øker kampanjens rekkevidde og effekt betydelig.

Potensial for større utnyttelse

Angripere har først og fremst brukt spesialbygde Godot-kjørbare filer for å spre skadelig programvare. Imidlertid advarer forskere om en enda større trussel: tukling med legitime Godot-bygde spill. Ved å skaffe den symmetriske krypteringsnøkkelen som brukes til å trekke ut PCK-filer, kan nettkriminelle manipulere autentiske spillfiler for å levere ondsinnede nyttelaster.

Bytte til asymmetrisk nøkkelkryptering – der offentlige og private nøkkelpar brukes til kryptering og dekryptering – kan redusere slike risikoer. Denne tilnærmingen vil gjøre det betydelig vanskeligere for angripere å kompromittere legitim programvare.

Godot Security Teams svar

I lys av disse funnene understreket Godot Security Team viktigheten av å laste ned kjørbare filer kun fra pålitelige kilder. De oppfordret brukere til å sikre at filene er signert av en anerkjent enhet og unngå å bruke sprukket eller ubekreftet programvare. Mens et hvilket som helst programmeringsspråk kan brukes til å lage ondsinnet programvare, er Godots skriptfunksjoner verken mer eller mindre utsatt for misbruk sammenlignet med lignende plattformer som Python eller Ruby.

Bredere implikasjoner: tillit og årvåkenhet

GodLoader-kampanjen eksemplifiserer hvordan angripere utnytter legitime plattformer for å omgå sikkerhetskontroller og distribuere truende programvare. Med Godots arkitektur som muliggjør plattformuavhengig levering av nyttelast, kan nettkriminelle effektivt målrette mot enheter på tvers av ulike operativsystemer, inkludert Windows, Linux og macOS.

Kampanjens kombinasjon av et svært målrettet distribusjonsnettverk og snikende leveringsmekanismer har resultert i utbredte infeksjoner, noe som gjør den til et formidabelt verktøy i angripernes arsenal. Denne situasjonen er en nøktern påminnelse for brukere om å utvise forsiktighet og kun laste ned programvare fra verifiserte kilder.

Oppfordringen til sterkere cybersikkerhet

Ettersom GodLoader-kampanjen fortsetter å utfolde seg, fungerer den som en vekker for programvareutvikling og spillindustrien. Robuste sikkerhetstiltak, verktøy for oppdagelse av trusler på tvers av plattformer og krypteringsfremskritt er avgjørende for å redusere slike risikoer. Ved å prioritere cybersikkerhet på alle trinn – fra utvikling til utrulling – kan industrien redusere sannsynligheten for at lignende trusler undergraver tilliten og sikkerheten til brukerne.