[业内新闻动态] [【转载】] RU-APT-ChainReaver-L 劫持可信网站与GitHub仓库，发动大规模跨平台供应链攻击

结论

RU-APT-ChainReaver-L攻击以供应链污染为核心，通过劫持可信基础设施（镜像站点、GitHub仓库）投递恶意负载，结合证书签名、重定向链和诱导性社会工程学手段突破多层防御。攻击链的关键路径是合法基础设施（Source）→用户终端（Sink），需从源头阻断恶意分发通道并强化终端行为监控。

分析路径

L1 攻击面识别

污染源（Source）：

1. 被劫持的镜像站点（Mirrored.to/Mirrorace.org）
2. GitHub账户托管的恶意仓库（50+旧账户，模拟长期活跃性）
3. 非法云存储（MediaFire/Dropbox）及恶意App Store应用

漏洞 Sink（Sink）：

1. Windows：用户手动解压密码保护压缩包，执行已签名恶意文件
2. macOS：诱导用户输入终端命令，触发无文件内存执行（MacSync Stealer）
3. iOS：信任欺诈性App Store应用，触发钓鱼攻击

L2 假设与验证

假设：攻击者通过替换镜像站点合法文件为恶意版本实现污染。
验证路径：

1. 对被劫持镜像站点的历史文件哈希进行离线对比，搜索替换痕迹。
2. 使用工具（如curl -v）跟踪下载URL的重定向链，检查是否存在异常跳转（如绕过CDN到特定C2）。
3. 分析GitHub恶意仓库的提交记录，验证是否存在异常提交（如深夜提交、代码逻辑突变）。

L3 边界/异常场景

测试点：

1. GitHub账户行为异常：检查被劫持账户的SSH Key、访问IP、仓库访问日志是否出现非常见地域登录。
2. 签名证书有效性：逆向Windows样本，提取签名证书链并交叉核对发行机构，确认是否复用合法但被泄露的证书。
3. 终端执行链边界：在macOS中监控终端命令osascript或launchd异常调用，定位ClickFix攻击的触发条件。

L4 防御反推与修复

攻击者通过以下手段规避防御：

1. 证书签名：利用合法证书绕过终端签名验证（需依赖证书透明度日志）。
2. 重定向链混淆：使用多层CDN跳转，隐藏C2真实IP。
3. 无文件攻击：macOS样本内存加载规避静态检测。

防御措施：

1. 源头阻断：
   • 建立可信镜像站点白名单，禁用非常规下载源。
   • 监控GitHub仓库的代码提交频率、分支篡改事件（如合并恶意fork分支）。
2. 终端防护：
   • 部署EDR规则拦截特定域名请求（如MediaFire/Dropbox的API接口）。
   • 对终端执行的压缩包密码进行定期采集分析，识别固定模式（如123qwe）。
3. 流量监控：
   • 建立DNS查询沙箱，捕获请求被劫持站点的子域名模式。
   • 分析App Store下载流量，识别伪装成VPN的可疑应用特征（如请求icloud.com的异常端口）。

验证步骤（最小化操作）

1. 重定向链分析：

   curl -v https://mirrorace.org/[目标文件] | grep Location  

   检查最终跳转是否指向已知恶意C2域名（如*.trackstat.net）。

2. GitHub仓库异常检测：

   import requests  
   # 获取目标仓库的最近提交记录  
   resp = requests.get("https://api.github.com/repos/{user}/{repo}/commits")  
   commits = resp.json()  
   # 检查提交时间是否在非正常时段（如UTC+3凌晨）  
   for commit in commits:  
       print(commit['commit']['author']['date'], commit['commit']['message'])  

3. Windows样本证书追溯：
   使用sigcheck -t [恶意文件路径]验证签名证书是否存在于微软证书透明度日志，或是否已被吊销。

修复建议

1. 强制代理下载流量：

   • 将所有下载流量强制路由至企业沙箱，执行动态执行流分析（如检测终端命令注入、内存加载行为）。

2. 证书链信任管理：

   • 通过Windows组策略禁用不受信代码签名机构（certutil -addstore TrustedPeople [证书导出路径]逆向排除）。

3. 行为基线配置：

   • 在macOS中通过sysdiagnose工具捕获终端会话日志，建立正常osascript调用模式基线，触发异常时告警。

4. 用户教育：

   • 模拟ClickFix攻击场景测试，培训用户识别诱导执行终端命令的钓鱼页面（如伪造的brew install指令）。

关键结论：攻击链依赖合法基础设施的“信任背书”，需通过源头流量管控（阻断被劫持站点）和终端行为深度监控（拦截无文件执行）形成防御闭环。