De makers van Homebrew hebben scherpe kritiek geuit op Google, nadat malafide advertenties voor het populaire softwareproject in verband zijn gebracht met een fase in de aanval op cryptobeurs Binance. Bij die aanval wisten aanvallers volgens Binance voor miljarden euro’s aan cryptovaluta te stelen. De zaak onderstreept hoe riskant gesponsorde zoekresultaten kunnen zijn wanneer aanvallers bekende ontwikkeltools misbruiken om malware te verspreiden.
Besmette Homebrew-versie via zoekresultaten
Volgens de uitleg van Binance begon de aanval niet met één enkele truc, maar met een combinatie van technieken in meerdere fases. Veel aandacht ging uit naar een nepsollicitatie, maar Binance stelt dat een supplychain-aanval de eerste stap vormde.
In juni zocht een engineer van het Wallet DevOps-team van Binance via een zoekmachine naar Homebrew. Homebrew is een veelgebruikte open source package manager voor macOS en Linux waarmee gebruikers software kunnen installeren. De engineer wilde via Homebrew een populaire AI-programmeertool op zijn systeem zetten.
Via de zoekresultaten downloadde de medewerker echter een besmette versie. Binance verwijst daarbij naar waarschuwingen van het Internet Storm Center over malafide Google-advertenties rond Homebrew. Dergelijke advertenties zouden gebruikers naar valse Homebrew-versies leiden, die vervolgens de MacSync Stealer-malware installeren.
Binance: systeem vervangen en credentials gewijzigd
Binance meldt dat het eigen securityteam de malware ontdekte. Daarna werd het systeem van de betrokken engineer vervangen en werden alle gerelateerde credentials gewijzigd. Daarmee was de directe besmetting volgens de cryptobeurs aangepakt.
Toch was de impact daarmee niet volledig verdwenen. Volgens Binance hadden de aanvallers door de besmetting zicht gekregen op de rol van de engineer en diens collega’s binnen de wallet-infrastructuur. Die informatie zou later in de aanval zijn gebruikt. Daarmee laat het incident zien dat een ogenschijnlijk geïsoleerde malware-infectie ook waardevolle verkenningsinformatie kan opleveren voor vervolgstappen in een groter aanvalsplan.
Homebrew-maintainer haalt uit naar Google
Mike McQuaid, maintainer van Homebrew, heeft via X kritiek geleverd op Google. Volgens hem waarschuwt het Homebrew-project Google al jaren voor malafide advertenties waarin de naam van het project wordt misbruikt. McQuaid stelt dat Google daar onvoldoende tegen optreedt en financieel blijft profiteren van advertentieverkoop, ook wanneer advertenties gebruikers naar malware leiden.
Uit de beschikbare informatie blijkt niet of Google publiekelijk op deze specifieke kritiek heeft gereageerd. Ook is niet onafhankelijk vastgesteld welke exacte advertentie de Binance-engineer heeft aangeklikt. Wel koppelt Binance de infectie aan waarschuwingen over malafide Google-advertenties voor Homebrew en beschrijft het bedrijf de besmette download als onderdeel van de aanloop naar de latere aanval.
Waarom dit relevant is voor organisaties
Voor organisaties is vooral de combinatie van bekende merknamen, zoekadvertenties en ontwikkeltools relevant. Ontwikkelaars en DevOps-teams installeren regelmatig command-line tools, libraries en package managers. Aanvallers weten dat deze gebruikers vaak over technische rechten, cloudtoegang of toegang tot build- en walletomgevingen beschikken. Een malwarecampagne die zich richt op software-installaties kan daardoor meer opleveren dan alleen wachtwoorden van één eindgebruiker.
Het incident raakt ook aan een breder probleem: gebruikers vertrouwen zoekmachines vaak als startpunt voor softwaredownloads. Wanneer een gesponsord resultaat bovenaan staat en de naam van een bekend open source-project gebruikt, kan zelfs een ervaren technische medewerker worden misleid. De inzet van infostealers zoals MacSync Stealer maakt dat risico groter, omdat zulke malware inloggegevens, sessiegegevens of andere gevoelige informatie kan verzamelen voordat een organisatie de infectie opmerkt.
Analyse: advertentieplatformen als aanvalsoppervlak
Bevestigd is dat Binance de besmetting van een Wallet DevOps-engineer beschrijft als onderdeel van de bredere aanvalsketen en dat Homebrew-maintainer McQuaid Google publiekelijk verwijt te weinig te doen tegen misbruik van advertenties. De analyse daarbovenop is dat advertentieplatformen daarmee steeds nadrukkelijker onderdeel worden van het aanvalsoppervlak van organisaties.
Waar klassieke supplychain-aanvallen vaak draaien om gecompromitteerde repositories, buildsystemen of software-updates, gaat het hier om de route daarheen: de manier waarop gebruikers software vinden en downloaden. Voor securityteams betekent dit dat niet alleen de integriteit van softwarebronnen telt, maar ook het gedrag rond installatie, zoekresultaten en gesponsorde links. Het Binance-incident laat zien dat een besmetting in een vroeg stadium later strategisch kan worden benut, zelfs als de malware op het betreffende systeem wordt ontdekt en verwijderd.
Bron: security.nl
