Los atacantes configuran repositorios engañosos de GitHub con malware disfrazado de exploits de día cero

En una campaña inusual de ataques, un pirata informático instaló repositorios de GitHub falsos que afirman albergar exploits de día cero para aplicaciones populares, pero que en su lugar distribuyen malware. El atacante también creó cuentas falsas de GitHub y Twitter haciéndose pasar por investigadores de seguridad e incluso usó fotos reales de investigadores de conocidas empresas de ciberseguridad.

«El atacante hizo todo lo posible para crear todas estas personas falsas solo para propagar un malware muy descarado», dijeron los investigadores de la empresa de seguridad VulnCheck, que encontraron los repositorios fraudulentos. un informe. «No está claro si tuvieron éxito, pero dado que continúan con este tipo de ataques, parecen pensar que tendrán éxito».

Si bien los ataques dirigidos a los investigadores de seguridad no son un desarrollo reciente, son relativamente raros y es más probable que sean el trabajo de grupos de amenazas persistentes avanzadas (APT) que buscan acceder a información confidencial a la que tienen acceso los investigadores. Este fue el caso con una campaña reportada por el Grupo de Análisis de Amenazas de Google en 2021 Una empresa norcoreana respaldada por el gobierno creó una red de cuentas falsas que se hacían pasar por investigadores de seguridad en Twitter, Telegram, LinkedIn y otras plataformas de redes sociales y las usó para promover explotaciones de prueba de concepto para vulnerabilidades existentes publicadas en un blog y videos de YouTube. .

Así funciona la campaña de cuentas falsas de GitHub

Otros investigadores reales fueron contactados a través de cuentas falsas e invitados a colaborar. Como parte de la comunicación, se compartió un proyecto de Visual Studio que contenía un código de explotación de prueba de concepto; sin embargo, este proyecto también contenía una DLL maliciosa que distribuía malware en la computadora de la víctima. Independientemente, algunos investigadores que visitaron el blog explotaron sus sistemas actuales, lo que sugiere que los atacantes tenían acceso a algunas vulnerabilidades de día cero.

VulnCheck encontró el primer repositorio fraudulento a principios de mayo y lo informó a GitHub, que lo eliminó de inmediato. Este repositorio afirmó albergar un exploit de ejecución remota de código de día cero para Signal, una popular aplicación de comunicación segura muy apreciada en la comunidad de seguridad. Luego, el atacante continuó configurando nuevas cuentas y repositorios con exploits falsos para Microsoft Exchange, Google Chrome, Discord y Chromium.

Todos fueron creados por cuentas falsas que afirman pertenecer a investigadores que trabajan para una empresa llamada High Sierra Cyber ​​Security, que no parece existir. Algunos de los mismos nombres e información de perfil se usaron para crear cuentas de Twitter, que luego se usaron para publicitar los repositorios, de manera similar al ataque informado por Google.