En las \u00faltimas semanas, hemos sido testigos de un alarmante aumento en la creaci\u00f3n de dep\u00f3sitos falsos en GitHub. Un total de 292 dep\u00f3sitos han sido detectados, creados a partir de finales de junio bajo cuentas desechables. Todos ellos comparten un patr\u00f3n com\u00fan que pone en riesgo la seguridad de los usuarios desprevenidos.<\/p>\n
Cada uno de estos dep\u00f3sitos incluye un archivo README saturado de contenido publicitario copiado, junto con un enlace de descarga disfrazado. De manera ir\u00f3nica, algunas de las marcas clonadas en este fraude incluyen nombres reconocidos como Arctic Wolf. Esto ha llevado a una confusi\u00f3n considerable entre los usuarios que buscan herramientas leg\u00edtimas de seguridad.<\/p>\n
El 30 de junio, se cre\u00f3 el dep\u00f3sito Hasta ahora, gracias a los reportes hechos en GitHub, la mayor\u00eda de estos dep\u00f3sitos han sido eliminados, pero alrededor de 60 redireccionadores siguen activos.<\/p>\n Cuando una v\u00edctima hace clic en el bot\u00f3n verde que dice \u00abDownload Secure Content\u00bb, se activa el malware que solicita datos desde un punto de entrada \u00fanico en el servidor, Dentro de este archivo, se encuentran solo dos elementos dise\u00f1ados para la infecci\u00f3n: una versi\u00f3n firmada del software de actualizaci\u00f3n WinGUP y una biblioteca Cada 60 segundos, el nombre del archivo que se est\u00e1 descargando cambia, as\u00ed como el de su ejecutable. Esto crea un efecto de confusi\u00f3n adicional para la v\u00edctima. Cuando el ejecutable es finalmente lanzado, el proceso leg\u00edtimo carga, en lugar de la biblioteca aut\u00e9ntica, la DLL comprometida. Este m\u00e9todo se conoce como “carga din\u00e1mica”.<\/p>\n El ritmo r\u00e1pido de publicaci\u00f3n de nuevos dep\u00f3sitos \u2014varios por hora durante una semana completa\u2014 plantea una interrogante: \u00bfpodr\u00eda haber una inteligencia artificial detr\u00e1s de esta campa\u00f1a? Sin embargo, los elementos t\u00e9cnicos apuntan a un script convencional. El dise\u00f1o HTML \u00fanico adapta cada marca en tiempo real, lo que es incompatible con la redacci\u00f3n personalizada para cada p\u00e1gina.<\/p>\n Un aspecto m\u00e1s inquietante es que algunos nombres de las cuentas utilizadas para los redireccionadores incluyen insultos en ruso, sugiriendo que una IA no tendr\u00eda razones para incluir tales t\u00e9rminos en su c\u00f3digo.<\/p>\n La proliferaci\u00f3n de dep\u00f3sitos falsos en GitHub representa un desaf\u00edo significativo para la comunidad. Los usuarios deben permanecer alerta ante posibles enga\u00f1os de este tipo y asegurar que descargan software \u00fanicamente de fuentes confiables. La educaci\u00f3n en ciberseguridad es m\u00e1s crucial que nunca.<\/p>\nArctic-Wolf-Security\/.github<\/code>, que presenta una lista de verificaci\u00f3n de seguridad falsa y un bot\u00f3n titulado \u00abOFICIAL PAGE\u00bb que redirige a un dominio controlado por los operadores de la campa\u00f1a. Sin embargo, tras este campo visual, se esconde un \u00fanico esquema HTML\/JavaScript que se reutiliza para las otras 292 marcas. Este script examina la URL y reconstruye din\u00e1micamente el t\u00edtulo de la p\u00e1gina y sus sellos de confianza, como el de VirusTotal.<\/p>\nProceso de Infecci\u00f3n<\/h3>\n
\/download-archive<\/code>. La respuesta es una archivo ZIP que se construye al momento. <\/p>\nlibcurl.dll<\/code> manipulada. Lo curioso es que el resto del contenido del archivo, que incluye varias DLL irrelevantes, est\u00e1 dise\u00f1ado para hacer que el peso total alcance alrededor de 136 MB, lo que lo hace m\u00e1s cre\u00edble para una v\u00edctima que espera un software real.<\/p>\nCambio Din\u00e1mico de Archivos<\/h3>\n
\u00bfInteligencia Artificial o Script Cl\u00e1sico?<\/h3>\n
Conclusi\u00f3n<\/h3>\n