Stargazer Goblin: хакер превратил GitHub в рынок вредоносного ПО

Check Point раскрыла сеть из 3000 поддельных аккаунтов на GitHub, которые активно распространяют вредоносные программы и фишинговые ссылки. Деятельность началась как минимум в мае прошлого года.

Наиболее активный киберпреступник, получивший прозвище Stargazer Goblin, использует платформу для размещения зловредных репозиториев. Изюминка кампании заключается в способности делать вредоносные репозитории похожими на легитимные за счет таких действий, как добавление звездочек (аналог лайков), форков (аналог ретвитов) и подписок. Торговля репозиториями и «звездами» координируется через каналы в Telegram и в даркнете.

Аккаунт Stargazer Ghost

Сеть Stargazers Ghost Network распространяет вредоносные репозитории, предлагающие инструменты для соцсетей, игр и криптовалют. Репозитории якобы предоставляют код доступа к VPN или лицензии Adobe Photoshop, и в основном нацелены на пользователей Windows. Цель злоумышленников – атаковать жертв, которые ищут бесплатное ПО.

Оператор сети продает свои услуги другим хакерам, называя это Distribution-as-a-Service (DaaS). Сеть распространяет различные типы вредоносного ПО, включая шифровальщики и инфостилеры – Atlantida Stealer, Rhadamanthys и Lumma Stealer.

Check Point предполагает, что сеть может быть больше, чем кажется, поскольку в кампании принимают участие легитимные аккаунты GitHub, которые были взломаны с помощью украденных учетных данных. По оценкам, общая сумма «заработка» преступника за время существования операции оценивается примерно в $100 000.

Репозитории, созданные по одному шаблону и нацеленные на пользователей TikTok, YouTube, Twitch, Instagram*

По словам специалистов, деятельность сети – «звездочки» и «просмотры» страниц – вероятно автоматизирована, так как репозитории обрабатываются в быстрой последовательности и созданы по одному шаблону. Выявить такую активность сложно, поскольку поведение аккаунтов имитирует действия обычных пользователей GitHub.

Stargazer Goblin создал сложную операцию по распространению вредоносного ПО, избегая обнаружения из-за высокого уровня доверия к GitHub. Это позволяет обходить подозрения и быстро восстанавливать свои действия, когда GitHub нарушает сеть. Используя несколько аккаунтов и профилей для разных задач (установка звезд, размещение репозиториев, коммитинг фишинговых шаблонов, хостинг вредоносных релизов), сеть Stargazers Ghost Network минимизирует потери при действиях GitHub, так как обычно нарушается только одна часть операции, а не все аккаунты.

* Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.