Los hackers están robando credenciales de criptomonedas en GitHub con el troyano bancario Astaroth

Los hackers ahora están robando credenciales de criptomonedas en GitHub con un troyano bancario llamado Astaroth. El desarrollo fue revelado después de una investigación por parte de la firma de ciberseguridad McAfee. La organización afirmó que el troyano utiliza repositorios de GitHub siempre que sus servidores sean desactivados.

Según los investigadores, el troyano bancario Astaroth es un virus que se propaga a través de correos electrónicos de phishing que invitan a las víctimas a descargar un archivo de Windows (.lnk).

Después de que la víctima descarga el archivo, instala el malware en la computadora anfitriona. Astaroth se ejecuta en segundo plano del dispositivo de la víctima, utilizando keylogging para robar credenciales bancarias y de criptomonedas. Tales credenciales se envían a los hackers a través del proxy inverso Ngrok (un intermediario entre servidores).

Los hackers usan el troyano Astaroth para robar credenciales de criptomonedas

Una de las características únicas es que Astaroth utiliza repositorios de GitHub para actualizar la configuración de su servidor siempre que su servidor de comando y control sea desactivado. Esto suele ocurrir debido a la intervención de firmas de ciberseguridad o agencias de aplicación de la ley.

«GitHub no se utiliza para alojar el malware en sí, sino solo para alojar una configuración que apunta al servidor bot», dijo Abhishek Karnik, Director de Investigación y Respuesta ante Amenazas en McAfee.

Karnik explicó que los desplegadores del malware están utilizando GitHub como recurso para dirigir a las víctimas a servidores actualizados, lo que separa las vulnerabilidades de instancias anteriores en las que GitHub ha sido aprovechado. Esto incluye un vector de ataque descubierto por McAfee en 2024, donde los hackers insertaron el malware Redline Stealer en repositorios de GitHub, algo que se ha repetido este año en la campaña GitVenom.

«Sin embargo, en este caso, no es el malware el que se aloja, sino una configuración que gestiona cómo el malware se comunica con su infraestructura de backend», añadió Karnik.

Al igual que con la campaña GitVenom, el objetivo de los actores maliciosos detrás de Astaroth es exfiltrar credenciales que se pueden usar para robar los activos digitales de sus víctimas o realizar transferencias desde sus cuentas bancarias. «No tenemos datos sobre cuánto dinero o criptomonedas ha robado, pero parece ser muy prevalente, especialmente en Brasil», dijo Karnik.

Los investigadores señalan la prevalencia del malware en América del Sur

Según los informes, parece que Astaroth ha sido utilizado principalmente en países de América del Sur, incluyendo México, Uruguay, Panamá, Colombia, Ecuador y Chile. Otras ubicaciones donde se ha utilizado son Perú, Venezuela, Paraguay y Argentina.

Aunque el malware también puede usarse para dirigirse a usuarios en Portugal e Italia, ha sido codificado de tal manera que no se carga en sistemas en Estados Unidos u otros países donde el inglés es el idioma principal, como Inglaterra.

El malware es capaz de apagar su sistema anfitrión si detecta que se está ejecutando software de análisis, mientras que está diseñado para ejecutar funciones de keylogging si detecta que un navegador web visita ciertos sitios web bancarios. Estos incluyen safra.com.br, btgpactual.com, caixa.gov.br, santandernet.com.br, itau.com.br y bancooriginal.com.br. También ha sido escrito para dirigirse a dominios de criptomonedas como localbitcoins.com, bitcointrade.com.br, foxbit.com.br, etherscan.io y metamask.io.

Ante tales amenazas, McAfee instó a los usuarios a no abrir archivos adjuntos o enlaces de remitentes desconocidos. Además, les aconsejó asegurarse de estar utilizando software antivirus actualizado y autenticación de dos factores.

Kaspersky también instó a los usuarios a estar vigilantes, especialmente al realizar actividades en plataformas como GitHub, donde se comparten códigos y la plataforma es utilizada por millones de desarrolladores en todo el mundo.