ハッカーはアスタロス銀行トロイの木馬を使用してGitHubで暗号通貨資格情報を盗み出している

ハッカーは、アスタロスという銀行トロイの木馬を使用してGitHubで暗号通貨資格情報を盗み出しています。この事実は、サイバーセキュリティ企業マカフィーによる調査後に明らかになりました。同社は、サーバーがダウンした際にトロイの木馬がGitHubリポジトリを使用していると主張しています。

研究者らによると、アスタロス銀行トロイの木馬は、Windows（.lnk）ファイルをダウンロードするよう被害者を誘うフィッシングメールを介して拡散されるウイルスです。

被害者がファイルをダウンロードすると、ホストコンピュータにマルウェアがインストールされます。アスタロスは被害者のデバイスのバックグラウンドで実行され、キーロギングを使用して銀行および暗号通貨の資格情報を盗み出します。これらの資格情報は、Ngrokリバースプロキシ（サーバー間の仲介者）を通じてハッカーに送信されます。

ハッカーはアスタロストロイの木馬を使用して暗号通貨資格情報を盗み出している

ユニークな機能の一つは、アスタロスがコマンド・アンド・コントロールサーバーがダウンした際に、GitHubリポジトリを使用してサーバー設定を更新することです。これは通常、サイバーセキュリティ企業や法執行機関の介入によって発生します。

「GitHubはマルウェア自体をホストするために使用されるのではなく、ボットサーバーを指す設定ファイルをホストするために使用されます」と、マカフィーの脅威調査・対応担当ディレクターであるアビシェク・カルニクは述べています。

カルニク氏は、マルウェアのデプロイヤーが、GitHubをリソースとして使用して被害者を更新されたサーバーへ誘導していることを説明しました。これは、GitHubが活用された過去の事例とは異なるアプローチです。これには、2024年にマカフィーが発見した攻撃ベクトルが含まれており、ハッカーがGitHubリポジトリにRedline Stealerマルウェアを挿入したもので、今年はGitVenomキャンペーンでこの手口が繰り返されています。

「しかし、今回の場合、ホストされているのはマルウェアではなく、マルウェアがバックエンドインフラストラクチャとどのように通信するかを管理する設定です」と、カルニク氏は付け加えました。

GitVenomキャンペーンと同様に、アスタロスの背後にある悪意ある行為者の目的は、被害者のデジタル資産を盗むか、銀行口座から送金するために使用できる資格情報を外部に持ち出すことです。「どの程度の金額や暗号通貨が盗まれたかについてのデータはありませんが、特にブラジルで非常に蔓延しているようです」とカルニク氏は語りました。

研究者らは、南米でのマルウェアの蔓延性に注目

報告によると、アスタロスは主にメキシコ、ウルグアイ、パナマ、コロンビア、エクアドル、チリなどの南米諸国で使用されているようです。使用されている他の場所には、ペルー、ベネズエラ、パラグアイ、アルゼンチンが含まれます。

マルウェアはポルトガルやイタリアのユーザーを標的にすることもできますが、英語が主要言語である米国やイングランドなどの国々のシステムにはアップロードされないようにコードが書かれています。

このマルウェアは、分析ソフトウェアが稼働していることを検出するとホストシステムをシャットダウンする能力を持ち、特定の銀行ウェブサイトへのウェブブラウザの訪問を検出すると、キーロギング機能を実行するように設計されています。対象となるウェブサイトには、safra.com.br、btgpactual.com、caixa.gov.br、santandernet.com.br、itau.com.br、bancooriginal.com.brが含まれます。また、localbitcoins.com、bitcointrade.com.br、foxbit.com.br、etherscan.io、metamask.ioなどの暗号通貨ドメインも標的にされています。

このような脅威に対し、マカフィーはユーザーに対し、不明な送信者からの添付ファイルやリンクを開かないよう促しました。さらに、最新のアンチウイルスソフトウェアと二段階認証を使用していることを確認するようアドバイスしています。

カスペルスキーもまた、コードが共有され、世界中で数百万人の開発者が使用するプラットフォームであるGitHubでの活動を行う際、特に警戒するようユーザーに促しています。