محققان امنیت سایبری جزئیات کمپین بدافزاری پیچیده‌ای را منتشر کردند که از تبلیغات پولی در موتورهای جستجو مانند گوگل برای توزیع بدافزار به کاربرانی که به دنبال ابزارهای محبوب مثل GitHub Desktop هستند، استفاده می‌کند. این کمپین که از دسامبر ۲۰۲۴ به طور انحصاری شرکت‌های فناوری اطلاعات و توسعه نرم‌افزار در اروپای غربی را هدف قرار داده، روشی نوآورانه دارد: جاسازی یک کامیت GitHub در URL صفحه که حاوی لینک‌های تغییریافته‌ای است که به زیرساخت کنترل‌شده مهاجمان اشاره می‌کند. شرکت Arctic Wolf اعلام کرد که “حتی زمانی که لینکی به نظر به پلتفرم معتبری مانند GitHub اشاره می‌کند، URL زیرین می‌تواند دستکاری شده باشد تا به سایت جعلی هدایت شود.”
بدافزار مرحله اول که از طریق نتایج جستجوی مسموم توزیع می‌شود، یک فایل نصب مایکروسافت (MSI) با حجم ۱۲۸ مگابایت است که به دلیل اندازه بزرگ از اکثر sandbox های امنیتی آنلاین فرار می‌کند، در حالی که روتین رمزگشایی مبتنی بر پردازنده گرافیکی (GPU) محموله را در سیستم‌های بدون GPU واقعی رمزگذاری شده نگه می‌دارد. این تکنیک با نام GPUGate شناخته می‌شود و سیستم‌های بدون درایور GPU مناسب احتمالاً ماشین‌های مجازی، sandbox ها یا محیط‌های تحلیل قدیمی هستند که محققان امنیتی معمولاً استفاده می‌کنند. تحلیل‌ها نشان می‌دهد مهاجمان پشت این کمپین به زبان روسی مسلط هستند و هدف نهایی سرقت اطلاعات و تحویل محموله‌های ثانویه است.
کلمات کلیدی : امنیت سایبری, بدافزار, GitHub Desktop, GPUGate, تبلیغات پولی گوگل, سرقت اطلاعات
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.