Gli hacker stanno rubando le credenziali crypto su GitHub con il Trojan bancario Astaroth

Gli hacker stanno ora rubando le credenziali crypto su GitHub con un Trojan bancario chiamato Astaroth. Lo sviluppo è stato rivelato dopo la ricerca della società di cybersecurity McAfee. L'organizzazione ha affermato che il Trojan utilizza i repository di GitHub ogni volta che i suoi server vengono disattivati.

Secondo i ricercatori, il Trojan bancario Astaroth è un virus diffuso tramite email di phishing che invitano le vittime a scaricare un file Windows (.lnk).

Dopo che la vittima scarica il file, installa il malware sul computer host. Astaroth gira in background sul dispositivo della vittima, utilizzando il keylogging per rubare le credenziali bancarie e crypto. Tali credenziali vengono inviate agli hacker tramite il proxy inverso Ngrok (un intermediario tra i server).

Gli hacker usano il Trojan Astaroth per rubare le credenziali crypto

Una delle caratteristiche uniche è che Astaroth utilizza i repository di GitHub per aggiornare la configurazione del suo server ogni volta che il suo server di comando e controllo viene disattivato. Questo di solito accade a causa dell'intervento di società di cybersecurity o agenzie di applicazione della legge.

“GitHub non viene utilizzato per ospitare il malware stesso, ma solo per ospitare una configurazione che punta al server bot,” ha dichiarato Abhishek Karnik, Direttore per la Ricerca e la Risposta alle Minacce presso McAfee.

Karnik ha spiegato che i deployer del malware stanno utilizzando GitHub come risorsa per indirizzare le vittime verso server aggiornati, il che separa gli exploit dalle istanze precedenti in cui GitHub è stato sfruttato. Questo include un vettore di attacco scoperto da McAfee nel 2024, in cui gli hacker hanno inserito il malware Redline Stealer nei repository di GitHub, qualcosa che è stato ripetuto quest'anno nella campagna GitVenom.

“Tuttavia, in questo caso, non è il malware ad essere ospitato, ma una configurazione che gestisce come il malware comunica con la sua infrastruttura backend,” ha aggiunto Karnik.

Come con la campagna GitVenom, l'obiettivo dei cattivi attori dietro Astaroth è esfiltrare le credenziali che possono essere utilizzate per rubare le risorse digitali delle vittime o per effettuare trasferimenti dai loro conti bancari. “Non abbiamo dati su quanto denaro o crypto abbia rubato, ma sembra essere molto diffuso, specialmente in Brasile,” ha detto Karnik.

I ricercatori notano la prevalenza del malware in Sud America

Secondo i rapporti, sembra che Astaroth sia stato utilizzato principalmente nei paesi sudamericani, tra cui Messico, Uruguay, Panama, Colombia, Ecuador e Cile. Altre località in cui è stato utilizzato sono Perù, Venezuela, Paraguay e Argentina.

Mentre il malware può anche essere utilizzato per colpire gli utenti in Portogallo e Italia, è stato codificato in modo tale da non essere caricato sui sistemi negli Stati Uniti o in altri paesi in cui l'inglese è la lingua principale, come l'Inghilterra.

Il malware è in grado di spegnere il suo sistema host se rileva che viene eseguita software di analisi, mentre è progettato per eseguire funzioni di keylogging se rileva che un browser web visita determinati siti web bancari. Questi includono safra.com.br, btgpactual.com, caixa.gov.br, santandernet.com.br, itau.com.br e bancooriginal.com.br. È stato anche scritto per colpire domini crypto come localbitcoins.com, bitcointrade.com.br, foxbit.com.br, etherscan.io e metamask.io.

Di fronte a tali minacce, McAfee ha esortato gli utenti a non aprire allegati o link da mittenti sconosciuti. Inoltre, ha consigliato loro di assicurarsi di utilizzare software antivirus aggiornato e l'autenticazione a due fattori.

Kaspersky ha anche esortato gli utenti a essere vigili, specialmente quando si svolgono attività su piattaforme come GitHub, dove i codici sono condivisi e la piattaforma è utilizzata da milioni di sviluppatori in tutto il mondo.