القراصنة يسرقون بيانات اعتماد الكريبتو على GitHub باستخدام حصان طروادة المصرفي Astaroth

القراصنة يسرقون الآن بيانات اعتماد الكريبتو على GitHub باستخدام حصان طروادة مصرفي يُدعى Astaroth. تم الكشف عن التطور بعد بحث من قبل شركة الأمن السيبراني McAfee. زعمت الشركة أن حصان الطروادة يستخدم مستودعات GitHub كلما تم إيقاف تشغيل خوادمه.

ووفقاً للباحثين، فإن حصان طروادة المصرفي Astaroth هو فيروس ينتشر عبر رسائل البريد الإلكتروني التصيدية التي تدعو الضحايا إلى تنزيل ملف Windows (.lnk).

بعد أن يقوم الضحية بتنزيل الملف، يقوم بتثبيت البرمجيات الخبيثة على جهاز الكمبيوتر المضيف. يعمل Astaroth في خلفية جهاز الضحية، باستخدام تسجيل المفاتيح لسرقة بيانات الاعتماد المصرفية والكريبتو. يتم إرسال مثل هذه البيانات الاعتماد إلى القراصنة عبر وكيل Ngrok العكسي (وسيط بين الخوادم).

القراصنة يستخدمون حصان طروادة Astaroth لسرقة بيانات اعتماد الكريبتو

إحدى الميزات الفريدة هي أن Astaroth يستخدم مستودعات GitHub لتحديث تكوين خادمه كلما تم إيقاف خادم الأوامر والتحكم الخاص به. يحدث هذا عادةً بسبب تدخل شركات الأمن السيبراني أو وكالات إنفاذ القانون.

"لا يُستخدم GitHub لاستضافة البرمجيات الخبيثة نفسها، بل فقط لاستضافة تكوين يشير إلى خادم البوت"، قال أبهاش كارنيك، مدير أبحاث التهديدات والاستجابة في McAfee.

شرح كارنيك أن موزعي البرمجيات الخبيثة يستخدمون GitHub كمورد لتوجيه الضحايا إلى خوادم محدثة، مما يفصل الاستغلالات عن الحالات السابقة التي تم فيها توظيف GitHub. ويشمل ذلك متجه هجوم اكتشفته McAfee في عام 2024، حيث قام القراصنة بإدخال برمجيات Redline Stealer الخبيثة في مستودعات GitHub، وهو ما تكرر هذا العام في حملة GitVenom.

"ومع ذلك، في هذه الحالة، لا يتم استضافة برمجيات خبيثة بل تكوين يدير كيفية تواصل البرمجيات الخبيثة مع بنية التحتية الخلفية الخاصة بها"، أضاف كارنيك.

كما هو الحال مع حملة GitVenom، فإن هدف الجهات الفاعلة الضارة وراء Astaroth هو استخراج بيانات الاعتماد التي يمكن استخدامها لسرقة الأصول الرقمية لضحاياهم أو لإجراء تحويلات من حساباتهم المصرفية. "ليس لدينا بيانات حول مقدار المال أو الكريبتو الذي سرقه، لكنه يبدو شائعاً جداً، خاصة في البرازيل"، قال كارنيك.

الباحثون يلاحظون انتشار البرمجيات الخبيثة في أمريكا الجنوبية

ووفقاً للتقارير، يبدو أن Astaroth تم استخدامه بشكل أساسي في دول أمريكا الجنوبية، بما في ذلك المكسيك، وأوروغواي، وبنما، وكولومبيا، والإكوادور، وتشيلي. أما المواقع الأخرى التي تم استخدامها فيها فهي بيرو، وفنزويلا، وباراغواي، والأرجنتين.

بينما يمكن استخدام البرمجيات الخبيثة أيضاً لاستهداف المستخدمين في البرتغال وإيطاليا، فقد تم برمجتها بطريقة لا يتم تحميلها على الأنظمة في الولايات المتحدة أو البلدان الأخرى التي تكون فيها اللغة الإنجليزية هي اللغة الرئيسية، مثل إنجلترا.

البرمجيات الخبيثة قادرة على إيقاف تشغيل نظام المضيف إذا اكتشفت أن برامج التحليل تعمل، بينما صُممت لتشغيل وظائف تسجيل المفاتيح إذا اكتشفت أن متصفح الويب يزور مواقع مصرفية معينة. وتشمل هذه safra.com.br، btgpactual.com، caixa.gov.br، santandernet.com.br، itau.com.br، وbancooriginal.com.br. كما تم برمجتها لاستهداف النطاقات المشفرة مثل localbitcoins.com، bitcointrade.com.br، foxbit.com.br، etherscan.io، وmetamask.io.

في مواجهة مثل هذه التهديدات، حثت McAfee المستخدمين على عدم فتح المرفقات أو الروابط من المرسلين غير المعروفين. بالإضافة إلى ذلك، نصحتهم بتأكد من استخدامهم لبرامج مكافحة فيروسات محدثة ومصادقة ثنائية.

حثت Kaspersky أيضاً المستخدمين على اليقظة، خاصة عند القيام بأنشطة على منصات مثل GitHub، حيث يتم مشاركة الأكواد وتستخدم المنصة من قبل ملايين المطورين حول العالم.