Una nuova campagna malevola su GitHub ha usato almeno 292 repository clone per fingersi software noti e brand legati alla sicurezza, con l’obiettivo di distribuire il trojan BoryptGrab su Windows. L’operazione è stata individuata da Arctic Wolf, che ha rilevato l’avvio dell’attività dal 26 giugno.
Il punto più critico è il metodo: i repository includevano README falsificati con link a pagine di download apparentemente sicure, ma in realtà pensate per convincere l’utente a eseguire file infetti. Una volta avviato, BoryptGrab può sottrarre credenziali, wallet crypto, account di messaggistica e altri dati sensibili.
Come funziona la campagna che sfrutta GitHub per diffondere BoryptGrab
L’attacco punta sulla fiducia che molti utenti ripongono nei repository pubblicati su GitHub. I criminali hanno creato decine e decine di progetti fasulli che imitano software conosciuti, inserendo nei file README collegamenti a presunte pagine di download protette. In realtà quei link portano a file di phishing che installano BoryptGrab sul sistema Windows.
Il meccanismo è semplice ma efficace: chi cerca un tool, una utility o un software di sicurezza può finire su uno di questi repository clone, leggere istruzioni credibili e scaricare un pacchetto malevolo senza accorgersene. È un approccio che rende particolarmente pericolosi i link esterni presenti nella documentazione dei repository, soprattutto quando rimandano a download fuori dalla piattaforma.
- Avvio della campagna rilevato dal 26 giugno.
- Individuati almeno 292 repository falsi su GitHub.
- I repository imitavano software noti e marchi legati alla sicurezza.
- L’infezione partiva da link malevoli inseriti nei file README.
- Il bersaglio principale è l’ambiente Windows.
Cosa può sottrarre il trojan e perché il danno può essere ampio
Arctic Wolf ha analizzato BoryptGrab e ha rilevato la presenza di 11 moduli di furto dati. Il malware è progettato per raccogliere credenziali salvate nei browser, password, cookie e informazioni legate ai wallet di criptovalute, ma non si ferma qui.
Tra i bersagli ci sono anche account e dati associati a Telegram, Discord, Steam e MetaMask. Inoltre il trojan può elencare i file presenti sul desktop e nella cartella Documenti, catturare schermate del sistema e recuperare le credenziali archiviate nel Windows Credential Manager, inviando poi tutto ai server di comando e controllo predisposti dagli attaccanti.
- Furto di account, password e cookie salvati nel browser.
- Raccolta dati dai wallet di criptovalute.
- Accesso a informazioni legate a Telegram, Discord, Steam e MetaMask.
- Elenco dei file presenti su desktop e nella cartella Documenti.
- Cattura di schermate del PC.
- Estrazione delle credenziali dal Windows Credential Manager.
Molti repository sono stati rimossi, ma la campagna non è ancora chiusa
GitHub è già stato contattato per la rimozione dei contenuti malevoli e gran parte dei repository segnalati è stata eliminata. Però la campagna non risulta del tutto spenta: al momento restano ancora decine di repository non chiusi e sono ancora online anche diversi server usati per distribuire i file di phishing.
In pratica la raccomandazione più utile è evitare download avviati da link presenti nei README quando non provengono da fonti chiaramente ufficiali. In questo scenario contano molto la verifica del publisher, il controllo del dominio di download e l’uso di canali di rilascio già noti del software cercato.
- Gran parte dei repository segnalati è stata rimossa.
- Restano comunque decine di repository ancora attivi.
- Sono online anche server di download usati per il phishing.
- Maggiore attenzione ai link esterni presenti nei README.
