Специалисти разкриха мащабна кампания в GitHub, насочена към чийтъри и хакери

Специалисти по киберсигурност от британската компания Sophos алармират за престъпна кампания по страниците на GitHub. Ако сте човек, който обаче обича да играе „по правилата“, тя едва ли ще ви засегне. Причината за това е, че кампанията е насочена към чийтъри и кандидат-хакери, надяващи се да намерят в GitHub зловреден код със свободен достъп.

Sophos се натъкват на над 130 хранилища, създадени от потребител на GitHub с псевдонима ischhfd83. Те съдържали споменатите инструменти и софтуер, но с вкаран в тях таен код, който без тяхно знание хаква системите им.

Британските специалисти се натъкват на кампанията, когато техен клиент ги моли да проверят проект с името Sakura RAT. Това е известен хакерски инструмент за отдалечен контрол на компютърни системи. От Sophos установили, че инструментът бил счупен, но в него имало скрит механизъм за хакване на инсталиралия го. Любопитното в случая било, че той бил насочен не към бизнеси, каквато е практиката, а към новаци-киберпрестъпници и гейм-чийтъри.

В кода на предполагаемия RAT (remote-access tool) имало инструкции за свалянето на допълнителен зловреден код при компилирането му. Разследването на Sophos открило, че с имейла на създателя на хранилището са свързани още 141 хранилища. 133 от тях съдържали бекдор код.

Оказва се, че операцията била внимателно изготвена. ischhfd83 използвал автоматизация, за да създаде впечатление за активно разработван проект. Хранилищата били пълни с хиляди автогенерирани актуализации, създадени чрез работни потоци на GitHub Actions. Самият зловреден код се съхранявал, както в самия GitHub, така и в paste-сайтове. Функционалността му била прикрита като веригите на инфекция били скрити чрез пластове от обфускиран код в различни формати. Това включвало PowerShell, Python, JavaScript, Windows скрийнсейвъри и др. Крайният резултат бил свалянето и изпълнението на Lumma Stealer или AsyncRAT на системата.