Малварь GodLoader эксплуатирует возможности популярного игрового движка Godot (Godot Engine), чтобы избежать обнаружения. Вредоносу уже удалось заразить более 17 000 систем за три месяца. Новую угрозу обнаружили аналитики компании Check Point. Они предупреждают, что злоумышленники могут использовать Godot Engine для атак на геймеров на всех основных платформах, включая Windows, macOS, Linux, Android и iOS. Интерес злоумышленников к игровому движку в Check Point объясняют тем, что вокруг Godot Engine сложилось активное и быстро растущее сообщество разработчиков. «Более 2700 разработчиков внесли свой вклад в создание и развитие игрового движка Godot, а на таких платформах, как Discord, YouTube и в других социальных сетях у Godot Engine насчитывается около 80 000 подписчиков, которые следят за последними новостями», — пишут специалисты. Хакеры распространяли малварь GodLoader через Stargazers Ghost Network — сервис для распространения вредоносного ПО, который маскирует свою деятельность с помощью множества якобы легитимных репозиториев на GitHub. Напомним, что об этом сервисе и стоящей за ним группировкой Stargazer Goblin эксперты подробно рассказывали еще в 2023 году. Сообщается, что в период с сентября по октябрь 2024 года злоумышленники использовали более 200 репозиториев, контролируемых 225 учетными записями Stargazer Ghost, для развертывания малвари GodLoader в системах жертв. В указанный период времени Check Point обнаружила четыре отдельные волны атак на разработчиков и геймеров, в ходе которых пользователям предлагалось загрузить зараженные GodLoader инструменты и игры. Общая схема атаки Хотя фактически исследователи обнаружили только образцы GodLoader, нацеленные на Windows, им также удалось разработать PoC-эксплоит на GDScript, демонстрирующий, что малварь можно легко адаптировать для атак на Linux или macOS. Эксперты объясняют, что GodLoader эксплуатирует гибкость Godot и возможность скриптового языка GDScript для выполнения произвольного кода и обхода систем обнаружения. Для этого вредонос встраивает вредоносные скрипты в файлы .pck, которые используются для игровых асетов. То есть после загрузки такие файлы запускают вредоносный код на устройствах жертв, позволяя злоумышленникам воровать учетные данные или загружать дополнительные полезные нагрузки. Например, в одном из случае это был стилер RedLine, в другом — майнер XMRig. Конфигурация майнера размещалась в приватном файле, загруженном на Pastebin в мае текущего года. Суммарно этот файл был просмотрен 206 913 раз. Stargazers Ghost Network и дальнейшее развитие атаки «Как минимум с 29 июня 2024 года киберпреступники пользуются Godot Engine для выполнения GDScript-кода, который запускает вредоносные команды и доставляет вредоносное ПО. Эта техника ускользает от большинства антивирусных инструментов, представленных на VirusTotal, что позволило _