Les pirates volent des identifiants crypto sur GitHub avec le cheval de Troie bancaire Astaroth

Les pirates volent désormais des identifiants crypto sur GitHub avec un cheval de Troie bancaire appelé Astaroth. Le développement a été révélé après une recherche par le cabinet de cybersécurité McAfee. L'organisation a affirmé que le cheval de Troie utilise les dépôts GitHub chaque fois que ses serveurs sont mis hors ligne.

Selon les chercheurs, le cheval de Troie bancaire Astaroth est un virus propagé via des e-mails de hameçonnage qui invitent les victimes à télécharger un fichier Windows (.lnk).

Après que la victime a téléchargé le fichier, il installe le malware sur l'ordinateur hôte. Astaroth s'exécute en arrière-plan sur l'appareil de la victime, utilisant le keylogging pour voler les identifiants bancaires et crypto. Ces identifiants sont envoyés aux pirates via le proxy inverse Ngrok (un intermédiaire entre les serveurs).

Les pirates utilisent le cheval de Troie Astaroth pour voler des identifiants crypto

L'une des caractéristiques uniques est qu'Astaroth utilise les dépôts GitHub pour mettre à jour la configuration de son serveur chaque fois que son serveur de commande et de contrôle est mis hors ligne. Cela se produit généralement en raison de l'intervention de cabinets de cybersécurité ou d'agences de police.

« GitHub n'est pas utilisé pour héberger le malware lui-même, mais seulement pour héberger une configuration qui pointe vers le serveur bot », a déclaré Abhishek Karnik, Directeur de la Recherche et de la Réponse aux Menaces chez McAfee,

Karnik a expliqué que les déployeurs du malware utilisent GitHub comme ressource pour diriger les victimes vers des serveurs mis à jour, ce qui sépare les exploits des instances précédentes dans lesquelles GitHub a été exploité. Cela inclut un vecteur d'attaque découvert par McAfee en 2024, où les pirates ont inséré le malware Redline Stealer dans les dépôts GitHub, une chose qui a été répétée cette année dans la campagne GitVenom.

« Cependant, dans ce cas, ce n'est pas le malware qui est hébergé, mais une configuration qui gère la façon dont le malware communique avec son infrastructure backend », a ajouté Karnik.

Comme pour la campagne GitVenom, l'objectif des acteurs malveillants derrière Astaroth est d'exfiltrer des identifiants qui peuvent être utilisés pour voler les actifs numériques de leurs victimes ou pour effectuer des transferts hors de leurs comptes bancaires. « Nous n'avons pas de données sur la quantité d'argent ou de crypto qu'il a volée, mais il semble être très répandu, surtout au Brésil », a déclaré Karnik.

Les chercheurs notent la prévalence du malware en Amérique du Sud

Selon les rapports, il semble qu'Astaroth ait été utilisé principalement dans les pays d'Amérique du Sud, y compris le Mexique, l'Uruguay, le Panama, la Colombie, l'Équateur et le Chili. D'autres endroits où il a été utilisé sont le Pérou, le Venezuela, le Paraguay et l'Argentine.

Bien que le malware puisse également cibler les utilisateurs au Portugal et en Italie, il a été codé de telle manière qu'il n'est pas téléchargé sur les systèmes aux États-Unis ou dans d'autres pays où l'anglais est la langue principale, comme l'Angleterre.

Le malware est capable d'éteindre son système hôte s'il détecte que des logiciels d'analyse sont en cours d'exécution, tandis qu'il est conçu pour exécuter des fonctions de keylogging s'il détecte qu'un navigateur web visite certains sites bancaires. Ceux-ci incluent safra.com.br, btgpactual.com, caixa.gov.br, santandernet.com.br, itau.com.br, et bancooriginal.com.br. Il a également été écrit pour cibler des domaines crypto comme localbitcoins.com, bitcointrade.com.br, foxbit.com.br, etherscan.io et metamask.io.

Face à de telles menaces, McAfee a exhorté les utilisateurs à ne pas ouvrir les pièces jointes ou les liens provenant d'expéditeurs inconnus. De plus, il leur a conseillé de s'assurer qu'ils utilisent un logiciel antivirus à jour et l'authentification à deux facteurs.

Kaspersky a également exhorté les utilisateurs à faire preuve de vigilance, surtout lors de l'exécution d'activités sur des plateformes comme GitHub, où les codes sont partagés et la plateforme est utilisée par des millions de développeurs dans le monde entier.