تروجان بانکی آستاروت از گیت‌هاب برای ادامه فعالیت پس از تعطیلی سوءاستفاده می‌کند

محققان امنیت سایبری هشدار داده‌اند که کمپین جدیدی از تروجان بانکی آستاروت (Astaroth) از گیت‌هاب به عنوان زیرساخت عملیاتی خود استفاده می‌کند تا در برابر از کار انداختن زیرساخت‌ها مقاوم باقی بماند. محققان آزمایشگاه مک‌آفی اعلام کردند که به جای تکیه صرف بر سرورهای فرمان و کنترل (C2) سنتی که قابل از کار انداختن هستند، این مهاجمان از مخازن گیت‌هاب برای میزبانی پیکربندی‌های بدافزار استفاده می‌کنند و هنگامی که نهادهای اجرای قانون یا محققان امنیتی زیرساخت C2 آن‌ها را از کار می‌اندازند، آستاروت به سادگی پیکربندی‌های جدید را از گیت‌هاب دریافت کرده و به کار خود ادامه می‌دهد.

این فعالیت عمدتاً بر برزیل متمرکز است، اگرچه این بدافزار بانکی کشورهای مختلف آمریکای لاتین از جمله مکزیک، اروگوئه، آرژانتین و چندین کشور دیگر را هدف قرار می‌دهد. زنجیره حمله جدید با ایمیل فیشینگ با موضوع DocuSign آغاز می‌شود که حاوی لینکی است که فایل فشرده میانبر ویندوز (.lnk) را دانلود می‌کند. آستاروت بدافزاری مبتنی بر دلفی است که برای نظارت بر بازدیدهای قربانیان از وب‌سایت‌های بانکی یا ارزهای دیجیتال و سرقت اعتبارنامه‌های آن‌ها از طریق ثبت ضربات کلید طراحی شده است. این بدافزار از گیت‌هاب برای به‌روزرسانی پیکربندی خود هنگام عدم دسترسی به سرورهای C2 استفاده می‌کند و تصاویری را در گیت‌هاب میزبانی می‌کند که از استگانوگرافی برای پنهان کردن اطلاعات استفاده می‌کند.