Hakkerit ja pankkitroijalaiset
Hakkerit käyttävät pankkitroijalaisia, jotka hyödyntävät GitHub-repositorioita aina, kun niiden palvelimet kaadetaan, McAfeen kyberturvallisuusyrityksen tutkimuksen mukaan. Astaroth-niminen troijalaisvirus leviää phishing-sähköpostien kautta, jotka houkuttelevat uhreja lataamaan Windows (.lnk) -tiedoston, joka asentaa haittaohjelman isäntätietokoneeseen.
Astarothin toiminta
Astaroth toimii uhrin laitteessa taustalla, käyttäen näppäinten tallennusta varastaakseen pankki- ja kryptovaluutta-tunnuksia, ja lähettää nämä tunnukset Ngrok-käänteispalvelimen avulla. Sen ainutlaatuinen ominaisuus on, että Astaroth käyttää GitHub-repositorioita päivittääkseen palvelinmäärityksensä aina, kun sen komentopalvelin kaadetaan, mikä tapahtuu yleensä kyberturvallisuusyritysten tai lainvalvontaviranomaisten puuttumisen vuoksi.
”GitHubia ei käytetä haittaohjelman itsensä isännöimiseen, vaan vain määrityksen isännöimiseen, joka osoittaa bottipalvelimelle,” sanoi Abhishek Karnik, McAfeen uhkatutkimus- ja vastausjohtaja.
Hyökkäyksen erikoisuus
Puhuen Decryptille, Karnik selitti, että haittaohjelman levittäjät käyttävät GitHubia resurssina ohjatakseen uhreja päivitettyihin palvelimiin, mikä erottaa tämän hyökkäyksen aiemmista tapauksista, joissa GitHubia on hyödynnetty. Tämä sisältää hyökkäysvektorin, jonka McAfee löysi vuonna 2024, jossa huonot toimijat lisäsivät Redline Stealer -haittaohjelman GitHub-repositorioihin, mikä on toistunut tänä vuonna GitVenom-kampanjassa.
”Kuitenkin tässä tapauksessa ei ole haittaohjelmaa, joka isännöi, vaan määritys, joka hallitsee, miten haittaohjelma kommunikoi taustainfrastruktuurinsa kanssa,” lisäsi Karnik.
Kohdistus ja vaikutukset
Kuten GitVenom-kampanjassa, Astarothin lopullinen tarkoitus on viedä tunnuksia, joita voidaan käyttää uhrin kryptovaluutan varastamiseen tai siirtoihin heidän pankkitileiltään. ”Meillä ei ole tietoa siitä, kuinka paljon rahaa tai kryptovaluuttaa se on varastanut, mutta se näyttää olevan erittäin yleistä, erityisesti Brasiliassa,” sanoi Karnik.
Näyttää siltä, että Astaroth on ensisijaisesti kohdistunut Etelä-Amerikan alueisiin, mukaan lukien Meksiko, Uruguay, Argentiina, Paraguay, Chile, Bolivia, Peru, Ecuador, Kolumbia, Venezuela ja Panama. Vaikka se pystyy myös kohdistumaan Portugaliin ja Italiaan, haittaohjelma on kirjoitettu niin, että sitä ei ladata järjestelmiin Yhdysvalloissa tai muissa englanninkielisissä maissa (kuten Englannissa).
Suojautuminen uhkilta
Haittaohjelma sulkee isäntäjärjestelmänsä, jos se havaitsee, että analyysiohjelmistoa käytetään, samalla kun se on suunniteltu suorittamaan näppäinten tallennustoimintoja, jos se havaitsee, että verkkoselain vierailee tietyillä pankkisivustoilla. Näitä ovat:
- caixa.gov.br
- safra.com.br
- itau.com.br
- bancooriginal.com.br
- santandernet.com.br
- btgpactual.com
Se on myös kirjoitettu kohdistamaan seuraaviin kryptovaluuttaan liittyviin verkkotunnuksiin:
- etherscan.io
- binance.com
- bitcointrade.com.br
- metamask.io
- foxbit.com.br
- localbitcoins.com
Tällaisia uhkia vastaan McAfee neuvoo käyttäjiä olemaan avaamatta liitteitä tai linkkejä tuntemattomilta lähettäjiltä sekä käyttämään ajankohtaista virustorjuntaohjelmistoa ja kaksivaiheista todennusta.
