黑客正使用 Astaroth 银行特洛伊木马在 GitHub 上窃取加密凭证

黑客现在正使用名为 Astaroth 的银行特洛伊木马在 GitHub 上窃取加密凭证。这一发现是在网络安全公司 McAfee 的研究后公布的。该公司声称，每当其服务器被关停时，该特洛伊木马都会使用 GitHub 存储库。

据研究人员称，Astaroth 银行特洛伊木马是一种通过 网络钓鱼 电子邮件传播的病毒，邀请受害者下载 Windows (.lnk) 文件。

受害者下载文件后，它会在主机计算机上安装恶意软件。Astaroth 在受害者设备的后台运行，使用键盘记录功能窃取银行和加密凭证。这些凭证通过 Ngrok 反向代理（服务器之间的中介）发送给黑客。

黑客使用 Astaroth 特洛伊木马窃取加密凭证

其中一个独特功能是，每当 Astaroth 的命令和控制服务器被关停时，它都会使用 GitHub 存储库来更新其服务器配置。这通常是由于网络安全公司或执法机构的干预所致。

“GitHub 并不用于托管恶意软件本身，而只是托管指向机器人服务器的配置，” McAfee 威胁研究与响应总监 Abhishek Karnik 表示。

Karnik 解释说，恶意软件的部署者 正在利用 GitHub 作为资源，将受害者引导至更新的服务器，这将利用与之前 GitHub 被利用的情况区分开来。这包括 McAfee 在 2024 年发现的一种攻击向量，黑客将 Redline Stealer 恶意软件插入 GitHub 存储库，这种情况在今年 GitVenom 活动中再次出现。

“然而，在这种情况下，被托管的不是恶意软件，而是管理恶意软件如何与其后端基础设施通信的配置，”Karnik 补充道。

与 GitVenom 活动一样，Astaroth 背后不良行为者的目标是窃取可用于窃取受害者数字资产或从其银行账户转账的凭证。“我们没有关于它偷走了多少钱或加密资产的数据，但它似乎非常普遍，特别是在巴西，”Karnik 说。

研究人员指出南美洲恶意软件的普遍性

据报告，Astaroth 似乎主要用于南美洲国家，包括墨西哥、乌拉圭、巴拿马、哥伦比亚、厄瓜多尔和智利。其他使用地点包括秘鲁、委内瑞拉、巴拉圭和阿根廷。

虽然该恶意软件也可用于针对葡萄牙和意大利的用户，但其编码方式使其不会上传到美国或其他以英语为主要语言的国家（如英国）的系统。

如果检测到正在运行分析软件，恶意软件有能力关闭其主机系统；如果检测到网络浏览器正在访问某些银行网站，它被设计为运行键盘记录功能。这些网站包括 safra.com.br、btgpactual.com、caixa.gov.br、santandernet.com.br、itau.com.br 和 bancooriginal.com.br。它也被编写为针对加密域名，如 localbitcoins.com、bitcointrade.com.br、foxbit.com.br、etherscan.io 和 metamask.io。

面对此类威胁，McAfee 敦促用户不要打开来自未知发送者的附件或链接。此外，它建议他们确保使用最新的防病毒软件和双重身份验证。

Kaspersky 也敦促用户保持警惕，特别是在 GitHub 等平台上进行操作时，这些平台共享代码，并被全球数百万开发人员使用。