Хакеры крадут учетные данные криптоактивов на GitHub с помощью банковского трояна Astaroth

Хакеры теперь крадут учетные данные криптоактивов на GitHub с помощью банковского трояна под названием Astaroth. Об этом стало известно после исследования компании по кибербезопасности McAfee. Организация заявила, что троян использует репозитории GitHub, когда его серверы отключаются.

По данным исследователей, банковский троян Astaroth — это вирус, распространяемый через фишинговые письма, которые подталкивают жертв к загрузке файла Windows (.lnk).

После загрузки файла жертвой вредоносное ПО устанавливается на компьютер. Astaroth работает в фоновом режиме устройства жертвы, используя кейлоггинг для кражи банковских и крипто-учетных данных. Такие данные передаются хакерам через обратный прокси-сервер Ngrok (посредник между серверами).

Хакеры используют троян Astaroth для кражи учетных данных криптоактивов

Одной из уникальных особенностей является то, что Astaroth использует репозитории GitHub для обновления конфигурации своего сервера всякий раз, когда его сервер командования и управления отключается. Это обычно происходит из-за вмешательства компаний по кибербезопасности или правоохранительных органов.

«GitHub не используется для размещения самого вредоносного ПО, а лишь для размещения конфигурации, указывающей на сервер ботнета», — заявил Абхшек Карник, директор по исследованиям и реагированию на угрозы в McAfee.

Карник объяснил, что разработчики вредоносного ПО используют GitHub как ресурс для направления жертв на обновленные серверы, что отделяет этот метод от предыдущих случаев использования GitHub. В их число входит вектор атаки, обнаруженный McAfee в 2024 году, когда хакеры вставляли вредоносное ПО Redline Stealer в репозитории GitHub; этот метод повторялся в этом году в рамках кампании GitVenom.

«Однако в данном случае размещается не вредоносное ПО, а конфигурация, которая управляет тем, как вредоносное ПО взаимодействует с его бэкенд-инфраструктурой», — добавил Карник.

Как и в кампании GitVenom, цель злоумышленников, стоящих за Astaroth, — эксфильтрация учетных данных, которые можно использовать для кражи цифровых активов жертв или для вывода средств с их банковских счетов. «У нас нет данных о том, сколько денег или криптоактивов было украдено, но, похоже, это очень распространено, особенно в Бразилии», — сказал Карник.

Исследователи отмечают распространенность вредоносного ПО в Южной Америке

Согласно отчетам, похоже, что Astaroth использовался преимущественно в странах Южной Америки, включая Мексику, Уругвай, Панаму, Колумбию, Эквадор и Чили. Другие места, где он использовался, — это Перу, Венесуэла, Парагвай и Аргентина.

Хотя вредоносное ПО может также использоваться для нацеливания на пользователей в Португалии и Италии, оно запрограммировано таким образом, чтобы не загружаться на системы в США или других странах, где основным языком является английский, таких как Англия.

Вредоносное ПО способно отключать систему-хозяина, если обнаруживает, что работает аналитическое программное обеспечение, и предназначено для запуска функций кейлоггинга, если обнаруживает, что веб-браузер посещает определенные банковские сайты. К ним относятся safra.com.br, btgpactual.com, caixa.gov.br, santandernet.com.br, itau.com.br и bancooriginal.com.br. Оно также настроено на целевые крипто-домены, такие как localbitcoins.com, bitcointrade.com.br, foxbit.com.br, etherscan.io и metamask.io.

В свете таких угроз McAfee призвала пользователей не открывать вложения или ссылки от неизвестных отправителей. Кроме того, компания посоветовала им убедиться, что они используют актуальное антивирусное программное обеспечение и двухфакторную аутентификацию.

Kaspersky также призвала пользователей быть бдительными, особенно при выполнении действий на таких платформах, как GitHub, где делятся кодами и где платформа используется миллионами разработчиков по всему миру.