Astaroth银行木马利用GitHub窃取加密货币凭证

根据网络安全公司McAfee的研究报告，黑客正在部署一种银行木马，其独特之处在于每当控制服务器被关闭时，会利用GitHub代码库维持运作。

这款名为Astaroth的木马病毒通过钓鱼邮件传播，诱骗受害者下载Windows(.lnk)文件，从而在主机上安装恶意软件。

Astaroth在受害者设备后台运行，通过键盘记录窃取银行和加密货币凭证，并利用Ngrok反向代理（服务器中介）发送这些凭证。

其最显著特征是：当指令控制服务器被网络安全公司或执法机构关闭时，Astaroth会通过GitHub代码库更新服务器配置。

“GitHub并非用于托管恶意软件本身，而是存放指向僵尸服务器配置的载体。”McAfee威胁研究与响应总监Abhishek Karnik表示。

Karnik向《Decrypt》解释称，恶意软件部署者将GitHub作为引导受害者连接更新服务器的资源，这种利用方式与以往案例存在本质区别。

这包括McAfee在2024年发现的攻击向量——黑客将Redline Stealer恶意软件植入GitHub代码库，类似手法在今年GitVenom攻击活动中再度出现。

“但本次案例中，GitHub托管的是管理恶意软件与后端基础设施通信的配置，而非恶意软件本身。”Karnik补充道。

与GitVenom攻击活动类似，Astaroth的最终目标是窃取凭证，用于盗取受害者加密货币或进行银行转账。

“我们尚未掌握具体涉案金额数据，但该木马传播范围极广，尤其在巴西地区。”Karnik透露。



瞄准南美地区

Astaroth主要攻击目标包括墨西哥、乌拉圭、阿根廷、巴拉圭、智利、玻利维亚、秘鲁、厄瓜多尔、哥伦比亚、委内瑞拉和巴拿马等南美地区。

虽然该恶意软件也能攻击葡萄牙和意大利，但其代码设定了不向美国及其他英语国家（如英国）系统上传。

当检测到分析软件运行时，该恶意软件会关闭宿主系统；若发现浏览器访问特定银行网站，则会启动键盘记录功能。

目标银行网站包括：caixa.gov.br、safra.com.br、itau.com.br、bancooriginal.com.br、santandernet.com.br和btgpactual.com。

同时锁定的加密货币相关域名有：etherscan.io、binance.com、bitcointrade.com.br、metamask.io、foxbit.com.br和localbitcoins.com。

面对此类威胁，McAfee建议用户勿打开未知发件人的附件或链接，及时更新防病毒软件，并启用双因素认证。

每日简讯 Newsletter

每日早间推送头条新闻，独家专题，播客视频等精选内容
您的邮箱
立即订阅
立即订阅