C
月内に
GitHub上でセキュリティツールを装った悪意のあるプロジェクトが配布されており、Visual StudioのビルドプロセスやPython/Goのソースコードに…
📌 一言でいうと
GitHub上でセキュリティツールを装った悪意のあるプロジェクトが配布されており、Visual StudioのビルドプロセスやPython/Goのソースコードにバックドアが仕込まれています。攻撃者は.csprojファイルのPreBuildEventなどを利用して悪意のあるPowerShellコマンドを実行させ、最終的にAsyncRATや情報窃取ツールをインストールさせます。既に2,000台以上のコンピュータが感染したと報告されており、セキュリティ担当者が標的となっています。
🔍該当判定
- GitHubから、セキュリティ診断ツールやログ分析ツールなどのプログラムをダウンロードして利用している
- Visual Studioを使用して、外部から入手したプロジェクトファイルをビルド（コンパイル）している
- PythonやGo言語のソースコードをGitHub等から取得し、自社環境で実行している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
信頼できないGitHubリポジトリからプロジェクトをクローンしてビルドしないこと。特に.csprojファイルのPreBuildEventや、ソースコード内の不自然な空白後のコードに注意し、静的解析ツールで検証することを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】GitHub上の偽セキュリティツールによるサプライチェーン攻撃について
お疲れさまです。GitHubで配布されている偽のセキュリティツールに関する情報共有です。
■ 概要
セキュリティツール（Fscan結果整理ツール等）を装った悪意のあるリポジトリがGitHubで公開されており、Visual Studioのビルドプロセス（PreBuildEvent）やソースコードにバックドアが仕込まれています。実行されるとTrojan.Loader.3261を介してAsyncRATや情報窃取ツールが展開されます。
■ 影響範囲
- GitHubから未検証のセキュリティツールや開発補助ツールを導入し、Visual Studio等でビルドした環境
■ 対応手順
1. 開発チームに対し、信頼性の低い外部リポジトリからのコード実行・ビルドを禁止するよう周知してください。
2. 不審なPowerShellプロセスの起動や、Microsoft Defenderの強制停止などの挙動がないかEDRログを確認してください。
3. 開発環境におけるビルドイベント（PreBuildEvent等）の監視を強化してください。
■ 参考情報
- Dr.Web リサーチレポート
対応優先度: 中
対応期限: 速やかに周知
お疲れさまです。GitHubで配布されている偽のセキュリティツールに関する情報共有です。
■ 概要
セキュリティツール（Fscan結果整理ツール等）を装った悪意のあるリポジトリがGitHubで公開されており、Visual Studioのビルドプロセス（PreBuildEvent）やソースコードにバックドアが仕込まれています。実行されるとTrojan.Loader.3261を介してAsyncRATや情報窃取ツールが展開されます。
■ 影響範囲
- GitHubから未検証のセキュリティツールや開発補助ツールを導入し、Visual Studio等でビルドした環境
■ 対応手順
1. 開発チームに対し、信頼性の低い外部リポジトリからのコード実行・ビルドを禁止するよう周知してください。
2. 不審なPowerShellプロセスの起動や、Microsoft Defenderの強制停止などの挙動がないかEDRログを確認してください。
3. 開発環境におけるビルドイベント（PreBuildEvent等）の監視を強化してください。
■ 参考情報
- Dr.Web リサーチレポート
対応優先度: 中
対応期限: 速やかに周知
Subject: [Alert] Supply Chain Attack via Fake Security Tools on GitHub
Dear Team,
We are sharing information regarding malicious projects disguised as security tools on GitHub.
■ Overview
Attackers are distributing fake security tools (e.g., Fscan result organizers) that embed backdoors in Visual Studio project files (.csproj PreBuildEvent) and source code. These projects deploy Trojan.Loader.3261, which subsequently installs AsyncRAT and various info-stealers.
■ Scope
- Environments where unverified security or development tools from GitHub are cloned and built using Visual Studio, Python, or Go.
■ Action Items
1. Instruct development teams to avoid cloning and building code from untrusted GitHub repositories.
2. Monitor EDR logs for suspicious PowerShell activity or unauthorized attempts to disable Microsoft Defender/AMSI.
3. Audit build configurations for unauthorized PreBuildEvent scripts.
■ Reference
- Dr.Web Research Report
Priority: Medium
Deadline: Immediate awareness
Dear Team,
We are sharing information regarding malicious projects disguised as security tools on GitHub.
■ Overview
Attackers are distributing fake security tools (e.g., Fscan result organizers) that embed backdoors in Visual Studio project files (.csproj PreBuildEvent) and source code. These projects deploy Trojan.Loader.3261, which subsequently installs AsyncRAT and various info-stealers.
■ Scope
- Environments where unverified security or development tools from GitHub are cloned and built using Visual Studio, Python, or Go.
■ Action Items
1. Instruct development teams to avoid cloning and building code from untrusted GitHub repositories.
2. Monitor EDR logs for suspicious PowerShell activity or unauthorized attempts to disable Microsoft Defender/AMSI.
3. Audit build configurations for unauthorized PreBuildEvent scripts.
■ Reference
- Dr.Web Research Report
Priority: Medium
Deadline: Immediate awareness