Hacker stehlen Krypto-Anmeldeinformationen auf GitHub mit dem Astaroth Banking Trojaner

Hacker stehlen derzeit Krypto-Anmeldeinformationen auf GitHub mit einem Banking-Trojaner namens Astaroth. Die Entwicklung wurde nach Forschungen des Cybersicherheitsunternehmens McAfee bekannt. Das Unternehmen behauptete, dass der Trojaner GitHub-Repositories nutzt, whenever seine Server abgeschaltet werden.

Laut den Forschern ist der Astaroth-Banking-Trojaner ein Virus, der über Phishing-E-Mails verbreitet wird, die Opfer dazu einladen, eine Windows-Datei (.lnk) herunterzuladen.

Nachdem das Opfer die Datei heruntergeladen hat, installiert es Malware auf dem Host-Computer. Astaroth läuft im Hintergrund des Geräts des Opfers und verwendet Keylogging, um Banking- und Krypto-Anmeldeinformationen zu stehlen. Solche Anmeldeinformationen werden an die Hacker über den Ngrok-Reverse-Proxy (ein Vermittler zwischen Servern) gesendet.

Hacker nutzen den Astaroth-Trojaner, um Krypto-Anmeldeinformationen zu stehlen

Eine der einzigartigen Funktionen ist, dass Astaroth GitHub-Repositories nutzt, um seine Serverkonfiguration zu aktualisieren, whenever sein Command-and-Control-Server abgeschaltet wird. Dies geschieht normalerweise aufgrund von Eingriffen von Cybersicherheitsfirmen oder Strafverfolgungsbehörden.

„GitHub wird nicht verwendet, um die Malware selbst zu hosten, sondern nur, um eine Konfiguration zu hosten, die auf den Bot-Server verweist“, sagte Abhishek Karnik, Direktor für Bedrohungsanalyse und -reaktion bei McAfee.

Karnik erklärte, dass die Vertreiber der Malware GitHub als Ressource nutzen, um Opfer auf aktualisierte Server zu leiten, was die Exploits von früheren Fällen trennt, in denen GitHub ausgenutzt wurde. Dazu gehört ein Angriffsvektor, der 2024 von McAfee entdeckt wurde, bei dem die Hacker die Redline Stealer-Malware in GitHub-Repositories eingefügt haben, etwas, das in diesem Jahr in der GitVenom-Kampagne wiederholt wurde.

„In diesem Fall wird jedoch keine Malware gehostet, sondern eine Konfiguration, die verwaltet, wie die Malware mit ihrer Backend-Infrastruktur kommuniziert“, fügte Karnik hinzu.

Wie bei der GitVenom-Kampagne ist das Ziel der böswilligen Akteure hinter Astaroth, Anmeldeinformationen zu extrahieren, die verwendet werden können, um die digitalen Vermögenswerte ihrer Opfer zu stehlen oder Überweisungen von ihren Bankkonten vorzunehmen. „Wir haben keine Daten darüber, wie viel Geld oder Krypto es gestohlen hat, aber es scheint sehr verbreitet zu sein, insbesondere in Brasilien“, sagte Karnik.

Forscher bemerken die Verbreitung von Malware in Südamerika

Berichten zufolge wurde Astaroth hauptsächlich in südamerikanischen Ländern eingesetzt, darunter Mexiko, Uruguay, Panama, Kolumbien, Ecuador und Chile. Andere Standorte, an denen es eingesetzt wurde, sind Peru, Venezuela, Paraguay und Argentinien.

Während die Malware auch verwendet werden kann, um Benutzer in Portugal und Italien zu zielen, wurde sie so codiert, dass sie nicht auf Systemen in den Vereinigten Staaten oder anderen Ländern hochgeladen wird, in denen Englisch die Hauptsprache ist, wie England.

Die Malware ist in der Lage, ihr Wirtssystem herunterzufahren, wenn sie erkennt, dass Analyse-Software betrieben wird, während sie so konzipiert ist, dass sie Keylogging-Funktionen ausführt, wenn sie erkennt, dass ein Webbrowser bestimmte Banking-Webseiten besucht. Dazu gehören safra.com.br, btgpactual.com, caixa.gov.br, santandernet.com.br, itau.com.br und bancooriginal.com.br. Sie wurde auch so geschrieben, dass sie Krypto-Domains wie localbitcoins.com, bitcointrade.com.br, foxbit.com.br, etherscan.io und metamask.io angreift.

Vor solchen Bedrohungen drängte McAfee die Benutzer, keine Anhänge oder Links von unbekannten Absendern zu öffnen. Darüber hinaus riet es ihnen, sicherzustellen, dass sie aktuelle Antivirensoftware und Zwei-Faktor-Authentifizierung verwenden.

Kaspersky drängte die Benutzer ebenfalls zur Wachsamkeit, insbesondere bei Aktivitäten auf Plattformen wie GitHub, wo Codes geteilt werden und die Plattform von Millionen von Entwicklern weltweit genutzt wird.