Tin tặc đang lạm dụng GitHub và FileZilla để phát tán phần mềm độc hại Cocktail

Các nhà nghiên cứu đã phát hiện một "chiến dịch đa diện" lạm dụng các dịch vụ hợp pháp như GitHub và FileZilla để phát tán một loạt mã độc đánh cắp thông tin và trojan ngân hàng như Atomic (còn gọi là AMOS), Vidar, Lumma (hay LummaC2) và Octo bằng cách giả mạo phần mềm đáng tin cậy như 1Password, Bartender 5 và Pixelmator Pro.

“Sự xuất hiện của nhiều biến thể phần mềm độc hại cho thấy một chiến dịch nhắm mục tiêu đa nền tảng, với cơ sở hạ tầng điều khiển tấn công (C2) trùng lặp chỉ ra hoạt động kiểm soát tập trung”, Insikt Group của Recorded Future cho biết.

Công ty an ninh mạng đang theo dõi hoạt động này với tên GitCaught, cho biết chiến dịch này không chỉ nêu bật việc lạm dụng các dịch vụ internet xác thực để dàn dựng các cuộc tấn công mạng mà còn dựa vào nhiều biến thể phần mềm độc hại nhắm mục tiêu vào Android, macOS và Windows để tăng tỷ lệ thành công.

Chuỗi tấn công sử dụng hồ sơ và kho lưu trữ giả mạo trên GitHub để lưu trữ các phiên bản giả mạo của phần mềm nổi tiếng được thiết kế để lấy cắp dữ liệu nhạy cảm từ các thiết bị bị xâm nhập. Liên kết đến các tệp độc hại này sau đó được chèn vào một số trang web (domain) thường được phát tán thông qua các chiến dịch quảng cáo độc hại và đầu độc SEO.

Kẻ đứng sau hoạt động này cũng bị phát hiện là đang sử dụng máy chủ FileZilla để quản lý và phân phối phần mềm độc hại.

Phân tích sâu hơn về các tệp độc hại trên GitHub và cơ sở hạ tầng liên quan cho thấy các cuộc tấn công có liên quan đến một chiến dịch lớn hơn được thiết kế để phát tán phần mềm độc hại RedLine, Lumma, Raccoon, Vidar, Rhadamanthys, DanaBot và DarkComet RAT ít nhất kể từ tháng 8 năm 2023.

Phương thức lây nhiễm Rhadamanthys cũng đáng chú ý vì nạn nhân truy cập các trang web quảng cáo ứng dụng giả mạo sẽ được chuyển hướng đến các payload (tệp/phần mềm độc hại) được lưu trên Bitbucket và Dropbox, cho thấy sự lạm dụng rộng rãi các dịch vụ hợp pháp.

Sự phát triển này diễn ra khi nhóm Threat Intelligence của Microsoft cho biết backdoor macOS Activator vẫn là một “mối đe dọa đáng lưu ý”, được phát tán thông qua các tệp image giả dạng các phiên bản bẻ khóa của phần mềm hợp pháp và đánh cắp dữ liệu từ các ứng dụng ví Exodus và Bitcoin-Qt.

Để giảm thiểu các rủi ro, người dùng luôn phải cảnh giác khi tải xuống/cài đặt một ứng dụng/phần mềm mới trên thiết bị của mình, không tải xuống phần mềm từ những nguồn không tin cậy; đồng thời lưu ý các quyền mà ứng dụng yêu cầu trong quá trình cài đặt hoặc sử dụng, nếu phát hiện bất kỳ điểm đáng ngờ nào, tốt nhất bạn nên hủy cài đặt ứng dụng ngay.

Nguồn: thehackernews.com.