Вредоносная рекламная кампания приводит к похитителям информации, размещенным на GitHub

В начале декабря 2024 года была обнаружена крупномасштабная кампания вредоносной рекламы, затронувшая около миллиона устройств по всему миру. Атака произошла через незаконные веб-сайты потокового вещания, которые содержали вредоносные редиректоры. Пользователи перенаправлялись на сайт-посредник, а затем на GitHub и другие платформы.

Оглавление

Описание

В кампании были атакованы различные организации и отрасли, включая потребительские и корпоративные устройства.

GitHub был основной платформой для доставки первоначального вредоносного доступа, хотя была обнаружена и другая полезная нагрузка на платформах Discord и Dropbox. Вредоносное ПО на удаленных репозиториях GitHub использовалось для развертывания дополнительных вредоносных файлов и скриптов. Дополнительные файлы использовались для сбора системной информации и установки вредоносного ПО для утечки документов и данных. Эта активность была связана с удаленным доступом, похищением информации, фишингом и кампаниями по распространению вредоносной полезной нагрузки.

В данном блоге представлен анализ этой вредоносной рекламной кампании. Описана цепочка перенаправлений и различные полезные нагрузки, использованные в атаке. Также приведены рекомендации по снижению воздействия этой угрозы и индикаторы компрометации для обнаружения активности. Цель публикации - повысить осведомленность о тактиках и методах, используемых злоумышленниками, чтобы организации могли эффективно защитить свои системы и данные.

Благодарность выражается команде безопасности GitHub за сотрудничество в удалении вредоносных репозиториев.

Кампания включала несколько этапов вредоносного ПО, включая дроппер, который размещался на GitHub и использовался для обнаружения системы и утечки информации. Затем развертывались различные этапы с различными полезными нагрузками, такими как командование и управление, загрузка дополнительных файлов и утечка данных. Цепочка редиректов включала несколько уровней и начиналась с нелегальных сайтов потокового вещания.

Indicators of Compromise

IPv4

154.216.20.131
159.100.18.192
185.92.181.1
188.245.94.250
192.142.10.246
45.141.84.60
5.10.250.240
79.132.128.77
79.133.46.35
84.200.24.191
84.200.24.26
89.187.28.253
91.202.233.18

Domains

0123movie.art
0cbcq8mu.com
Affiliated.com
Briefly.com
buzzonclick.com
Cookies.com
Denmark.com
dexpredict.com
Fabric.com
fle-rvd0i9o8-moo.com
Ford.com
greatdexchange.com
Korea.com
liveadexchanger.com
movies7.net
onclickalgo.com
onclickperformance.com
predictivdisplay.com
pulseadnetwork.com
Seq.com
Spice.com
Tanzania.com
Underwear.com
Warrant.com
Weeks.com
widiaoexhe.top

URLs

http://89.23.96.126/?v=3&event=ready&url=http://188.245.94.250:443/auto/28cd7492facfd54e11d48e52398aefa7/251.exe
http://keikochio.com/incall.php?=compName=<computer
http://keikochio.com/staz/gribs.zip
https://360.net
https://afterpm.com/pricedpage/
https://ageless-skincare.com/gn/
https://ak.ptailadsol.net/partitial/
https://baidu.com
https://cdn.discordapp.com/attachments/1316109420995809283/1316112071376769165/NativeApp_G4QLIQRa.exe
https://clarebrownmusic.com/goodday/
https://compass-point-yachts.com/nicepage77/pro77.php
https://covery-mover.biz
https://cumpaicizewoa.net/partitial/
https://dare-curbys.biz
https://desi-porn.tube/
https://dreamstorycards.com/amzpage/
https://dreasd.xyz
https://dwell-exclaim.biz
https://eaholloway.com/updatepage333/
https://egrowz.com/webview/
https://enricoborino.com/propage66/
https://formy-spill.biz
https://github.com/abdfilesup/readyyes
https://github.com/anatfile/newl
https://github.com/colvfile/bmx84542
https://github.com/colvfile/yesyes333
https://github.com/down4up/
https://github.com/downloadprov/www
https://github.com/g1lsetup/iln77
https://github.com/g1lsetup/v2025
https://github.com/git2312now/DownNew152/
https://github.com/Jimelecar
https://github.com/kloserw
https://github.com/kopersparan/
https://github.com/mp3andmovies/
https://github.com/muhammadshahblis/
https://github.com/zotokilowa
https://gostrm.shop
https://ikores.sbs
https://impend-differ.biz
https://kassalias.com/pageagain/
https://kefuguy.shop
https://klipcatepiu0.shop
https://lakeplacidluxuryhomes.com/webpage37
https://lilharts.com/propage6/
https://lumdukekiy.shop
https://lumquvonee.shop
https://marshal-zhukov.com
https://mycomp.cyou
https://nationpains.com/safeweb3/
https://objects.githubusercontent.com/github-production-release-asset-2e65be/897657726
https://objects.githubusercontent.com/github-production-release-asset-2e65be/898072392/
https://objects.githubusercontent.com/github-production-release-asset-2e65be/898537481
https://objects.githubusercontent.com/github-production-release-asset-2e65be/899121225
https://objects.githubusercontent.com/github-production-release-asset-2e65be/899472962/
https://objects.githubusercontent.com/github-production-release-asset-2e65be/900979287/
https://objects.githubusercontent.com/github-production-release-asset-2e65be/901430321/
https://objects.githubusercontent.com/github-production-release-asset-2e65be/901553970
https://objects.githubusercontent.com/github-production-release-asset-2e65be/901617842/
https://objects.githubusercontent.com/github-production-release-asset-2e65be/902107140
https://objects.githubusercontent.com/github-production-release-asset-2e65be/902405338
https://objects.githubusercontent.com/github-production-release-asset-2e65be/903047306/
https://objects.githubusercontent.com/github-production-release-asset-2e65be/903499100/
https://objects.githubusercontent.com/github-production-release-asset-2e65be/903509708/
https://objects.githubusercontent.com/github-production-release-asset-2e65be/915668132/
https://olopruy.com/
https://or-ipo.com/nice/
https://physicaltherapytustin.com/webhtml/
https://physicaltherapytustin.com/web-X/
https://pmpdm.com/webcheck35/
https://praxlonfire73.live
https://primetimeessentials.com/newpagyes/
https://pub.culture-quest.shop
https://razorskigrips.com/gn/
https://razorskigrips.com/goodk/
https://razorskigrips.com/newnewpage/
https://razorskigrips.com/perfect/
https://sacpools.com/pratespage/
https://se-blurry.biz
https://shortlearn.click
https://silversky.club
https://startherehosting.net/todaypage/
https://statsace.com/web_us/
https://stocktemplates.net/input.php?compName=<computer
https://tailyoveriw.my
https://thegay.com/
https://uc8ce1a0cf2efa109cd4540c0c22.dl.dropboxusercontent.com/cd/0/get/CgHUWBzFWtX1ZE6CwwKXVb1EvW4tnDYYhbX8Iqj70VZ5e2uwYlkAq6V-xQcjX0NMjbOJrN3_FjuanOjW66WdjPHNw2ptSNdXZi4Sey6511OjeNGuzMwxtagHQe5qFOFpY2xyt1sWeMfLwwHkvGGFzcKY/file?dl=1#
https://ukuhost.net
https://violettru.click
https://vjav.com/
https://wrathful-jammy.cyou
https://zinc-sneark.biz

SHA256
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