Los hackers crean proyectos falsos en GitHub para robar criptomonedas: Kaspersky
Una nueva investigación de la firma de ciberseguridad Kaspersky ha revelado que los hackers están creando cientos de proyectos falsos en GitHub con el objetivo de engañar a los usuarios y conseguir que descarguen malware capaz de robar criptomonedas y credenciales. En un informe del 24 de febrero, el analista de Kaspersky Georgy Kucherin explicó que esta campaña de malware, denominada ‘GitVenom’, ha derivado en la creación de numerosos repositorios en GitHub que albergan proyectos falsos con troyanos de acceso remoto (RAT), ladrones de información y secuestradores del portapapeles.
Entre los proyectos falsificados figuran un bot de Telegram que gestiona billeteras de Bitcoin y una herramienta para automatizar interacciones en Instagram. Kucherin señaló que los creadores del malware tomaron precauciones para darles un aspecto legítimo, con información bien diseñada y archivos de instrucciones que, al parecer, se generaron con herramientas de inteligencia artificial.
Los autores de estos proyectos maliciosos también inflaron de forma artificial el número de ‘commits’ o cambios realizados en el proyecto y añadieron múltiples referencias a cambios concretos para dar la impresión de que el repositorio se mejoraba de manera activa. “Para lograrlo, colocaron un archivo de marca de tiempo en estos repositorios, que se actualizaba cada pocos minutos”, explicó Kucherin.
Sin embargo, las funciones descritas en los archivos de instrucciones no se implementaron realmente, y Kaspersky descubrió que el código en su mayoría “realizaba acciones sin sentido”. Durante la investigación, la firma encontró varios proyectos falsos que databan de al menos dos años y supuso que el vector de infección probablemente es bastante eficiente, ya que los hackers llevan tiempo captando víctimas.
Al margen de la forma que adopte cada proyecto falso, Kucherin subrayó que todos contienen “cargas maliciosas” que descargan componentes como un ladrón de información que captura credenciales guardadas, datos de billeteras de criptomonedas e historial de navegación, para luego enviarlos a los hackers a través de Telegram. Otro componente malicioso utiliza un secuestrador del portapapeles que busca direcciones de billeteras de criptomonedas y las reemplaza por otras controladas por los atacantes.
Kucherin indicó que al menos un usuario fue víctima en noviembre, cuando una billetera controlada por un hacker recibió 5 Bitcoin, valorados entonces en unos $442,000. La campaña de GitVenom se ha observado a nivel mundial, aunque con un foco mayor en infectar a usuarios de Rusia, Brasil y Turquía, según Kaspersky.
El analista apuntó que, dada la popularidad de las plataformas para compartir código como GitHub, usadas por millones de desarrolladores en todo el mundo, los actores de amenazas seguirán empleando software falso como cebo para las infecciones. Por ello recomendó verificar qué acciones realiza cualquier código de terceros antes de descargarlo. Kaspersky también espera que los atacantes sigan publicando proyectos maliciosos, posiblemente con “pequeños cambios” en sus tácticas y técnicas de ejecución.