Un actor de amenazas conocido como Stargazer Goblin ha creado una red de cuentas de GitHub no aut\u00e9nticas para impulsar un sistema de distribuci\u00f3n como servicio (DaaS) que propaga una variedad de malware que roba informaci\u00f3n y les ha proporcionado 100.000 d\u00f3lares en ganancias il\u00edcitas durante el a\u00f1o pasado.<\/p>\n
La red, que comprende m\u00e1s de 3.000 cuentas en la plataforma de alojamiento de c\u00f3digo basada en la nube, abarca miles de repositorios que se utilizan para compartir enlaces maliciosos o malware, seg\u00fan Check Point, que la ha denominado “Stargazers Ghost Network”.<\/p>\n
Algunas de las familias de malware propagadas mediante este m\u00e9todo incluyen Atlantida Stealer, Rhadamanthys, RisePro, Lumma Stealer y RedLine. Las cuentas falsas tambi\u00e9n participan en la funci\u00f3n de protagonizar, bifurcar, observar y suscribirse a repositorios maliciosos para darles una apariencia de legitimidad.<\/p>\n
Se cree que la red ha estado activa desde agosto de 2022 en alguna forma preliminar, aunque no se detect\u00f3 un anuncio de DaaS hasta principios de julio de 2023.<\/p>\n
“Los actores de amenazas ahora operan una red de cuentas ‘fantasma’ que distribuyen malware a trav\u00e9s de enlaces maliciosos en sus repositorios y archivos cifrados como lanzamientos”, dijo el investigador de seguridad Antonis Terefos. explicado<\/a> en un an\u00e1lisis publicado la semana pasada.<\/p>\n “Esta red no s\u00f3lo distribuye malware, sino que tambi\u00e9n proporciona varias otras actividades que hacen que estas cuentas ‘Fantasma’ parezcan usuarios normales, lo que otorga una falsa legitimidad a sus acciones y a los repositorios asociados”.<\/p>\n Distintas categor\u00edas de cuentas de GitHub son responsables de distintos aspectos del plan en un intento de hacer que su infraestructura sea m\u00e1s resistente a los esfuerzos de eliminaci\u00f3n de GitHub cuando se detectan cargas maliciosas en la plataforma.<\/p>\n Estos incluyen cuentas que sirven a la plantilla del repositorio de phishing, cuentas que proporcionan la imagen para la plantilla de phishing y cuentas que env\u00edan malware a los repositorios en forma de un archivo protegido con contrase\u00f1a disfrazado de software pirateado y trucos de juegos.<\/p>\n Si GitHub detecta y proh\u00edbe el tercer conjunto de cuentas, Stargazer Goblin actualiza el repositorio de phishing de la primera cuenta con un nuevo enlace a una nueva versi\u00f3n maliciosa activa, lo que permite a los operadores seguir adelante con una interrupci\u00f3n m\u00ednima.<\/p>\n Adem\u00e1s de dar me gusta a los nuevos lanzamientos de m\u00faltiples repositorios y realizar cambios en los archivos README.md para modificar los enlaces de descarga, hay evidencia que sugiere que algunas cuentas que forman parte de la red han sido comprometidas previamente, y es probable que las credenciales hayan sido obtenidas a trav\u00e9s de malware ladr\u00f3n.<\/p>\n “La mayor\u00eda de las veces, observamos que las cuentas de Repository y Stargazer no se ven afectadas por prohibiciones y eliminaciones de repositorios, mientras que las cuentas de Commit y Release generalmente se proh\u00edben una vez que se detectan sus repositorios maliciosos”, dijo Terefos.<\/p>\n “Es habitual encontrar repositorios de enlaces que contienen enlaces a repositorios de versiones prohibidos. Cuando esto ocurre, la cuenta de confirmaci\u00f3n asociada con el repositorio de enlaces actualiza el enlace malicioso con uno nuevo”.<\/p>\n Una de las campa\u00f1as descubiertas por Check Point implica el uso de un enlace malicioso a un repositorio de GitHub que, a su vez, apunta a un script PHP alojado en un sitio de WordPress y entrega un archivo de aplicaci\u00f3n HTML (HTA) para finalmente ejecutar Atlantida Stealer mediante un script de PowerShell.<\/p>\n Otras familias de malware que se propagan a trav\u00e9s de DaaS son Lumma Stealer, RedLine Stealer, Rhadamanthys y RisePro. Check Point se\u00f1al\u00f3 adem\u00e1s que las cuentas de GitHub son parte de una soluci\u00f3n DaaS m\u00e1s grande que opera cuentas fantasma similares en otras plataformas como Discord, Facebook, Instagram, X y YouTube.<\/p>\n “Stargazer Goblin cre\u00f3 una operaci\u00f3n de distribuci\u00f3n de malware extremadamente sofisticada que evita la detecci\u00f3n ya que GitHub se considera un sitio web leg\u00edtimo, evita las sospechas de actividades maliciosas y minimiza y recupera cualquier da\u00f1o cuando GitHub interrumpe su red”, dijo Terefos.<\/p>\n “Al utilizar m\u00faltiples cuentas y perfiles que realizan diferentes actividades, desde protagonizar hasta alojar el repositorio, confirmar la plantilla de phishing y alojar versiones maliciosas, Stargazers Ghost Network puede minimizar sus p\u00e9rdidas cuando GitHub realiza alguna acci\u00f3n para perturbar sus operaciones, ya que, por lo general, solo se interrumpe una parte de toda la operaci\u00f3n en lugar de todas las cuentas involucradas”.<\/p>\n El desarrollo se produce en un momento en que actores de amenazas desconocidos est\u00e1n… Apuntando<\/a> Repositorios de GitHub, borrando su contenido y pidiendo a las v\u00edctimas que se comuniquen con un usuario llamado Gitloker en Telegram como parte de una nueva operaci\u00f3n de extorsi\u00f3n que ha estado en curso desde febrero de 2024.<\/p>\n El ataque de ingenier\u00eda social se dirige a los desarrolladores con correos electr\u00f3nicos de phishing enviados desde “notifications@github.com”, con el objetivo de enga\u00f1arlos para que hagan clic en enlaces falsos bajo la apariencia de una oportunidad laboral en GitHub, despu\u00e9s de lo cual se les solicita que autoricen una nueva aplicaci\u00f3n OAuth que borra todos los repositorios y exige un pago a cambio de restaurar el acceso.<\/p>\n Tambi\u00e9n sigue un aviso de Truffle Security de que es posible acceder a datos confidenciales de bifurcaciones eliminadas, repositorios eliminados e incluso repositorios privados en GitHub, instando a las organizaciones a tomar medidas para protegerse contra lo que llama una vulnerabilidad de referencia de objetos entre bifurcaciones (CFOR).<\/p>\n “Una vulnerabilidad CFOR ocurre cuando una bifurcaci\u00f3n del repositorio puede acceder a datos confidenciales de otra bifurcaci\u00f3n (incluidos datos de bifurcaciones privadas y eliminadas)”, Joe Leon dicho<\/a>“De manera similar a una referencia de objeto directa insegura, en CFOR los usuarios suministran hashes de confirmaci\u00f3n para acceder directamente a datos de confirmaci\u00f3n que de otro modo no ser\u00edan visibles para ellos”.<\/p>\n En otras palabras, un fragmento de c\u00f3digo enviado a un repositorio p\u00fablico puede ser accesible para siempre mientras exista al menos una bifurcaci\u00f3n de ese repositorio. Adem\u00e1s, tambi\u00e9n podr\u00eda usarse para acceder al c\u00f3digo enviado entre el momento en que se crea una bifurcaci\u00f3n interna y el repositorio se hace p\u00fablico.<\/p>\n Sin embargo, vale la pena se\u00f1alar que estas son decisiones de dise\u00f1o intencionales tomadas por GitHub, como anotado<\/a> por el compa\u00f1\u00eda<\/a> en su propia documentaci\u00f3n –<\/p>\n “El usuario promedio ve la separaci\u00f3n de los repositorios privados y p\u00fablicos como un l\u00edmite de seguridad, y comprensiblemente cree que los usuarios p\u00fablicos no pueden acceder a los datos ubicados en un repositorio privado”, dijo Leon.<\/p>\n “Desafortunadamente, […] Esto no siempre es cierto. Adem\u00e1s, el acto de eliminaci\u00f3n implica la destrucci\u00f3n de datos. Como vimos anteriormente, eliminar un repositorio o una bifurcaci\u00f3n no significa que los datos de confirmaci\u00f3n se eliminen en realidad.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Stargazer-Goblin-crea-3000-cuentas-falsas-de-GitHub-para-difundir.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n\n