Почти 300 репозиториев GitHub использовались для распространения программ-стилеров

На GitHub обнаружили масштабную атаку: 292 репозитория с инфостилерами, которые имитировали известные инструменты в области безопасности, финансов и разработки.

Об атаке рассказала организация Arctic Wolf. По данным исследователей, все репозитории содержали файл README со ссылкой на страницу загрузки с ZIP‑архивом. Страница, как правило, была оформлена так, чтобы быть похожей на легитимную, а имя и содержимое архива менялись примерно раз в минуту, чтобы усложнить отслеживание. Внутри находилась троянизированная библиотека libcurl.dll и модуль обновления WinGUP, который получает новое имя зависимо от продукта, под которым он подписывается.

После запуска исполняемого файла gup.exe загружал libcurl.dll, которая декодировала и запускала встроенный инфостилер. По поведению вредонос похож на семейство BoryptGrab и ориентирован на сбор данных — пароли и куки из 19 браузеров, информация из 32 криптовалютных кошельков, сессии и токены Telegram, Discord и Steam, учётные данные российского мессенджера Max, содержимое диспетчера учётных данных Windows, а равным образом скриншоты, сведения о системе и списки установленного ПО.

Arctic Wolf уточняет, что вредоносная программа не присутствует на хосте постоянно, а предназначена для сбора как можно большего количества данных за одно выполнение.

К моменту публикации отчёта большая часть фальшивых репозиториев была удалена. Arctic Wolf рекомендует пользователям загружать софт только с официальных сайтов и проверять цифровые подписи, а администраторам — внимательно мониторить веб трафик и сканировать загрузки на предмет троянов и необычных библиотек, загружаемых в память.