Geheimnisvolles Phantom-Netzwerk verbreitet Malware per GitHub

Die auf Software-Entwicklung spezialisierte Online-Plattform GitHub ist beliebt und es gibt kaum einen Developer, der dort nicht aktiv ist - mit eigenen Projekten oder auch als Beobachter anderer Repositories. Das nutzt nun auch ein mysteriöses Malware-Netzwerk aus.

Stargazer hat rund 3000 "Phantom-Konten"

Das "Stargazers Ghost Network" wurde kürzlich von Sicherheitsforschern des Security-Unternehmens Check Point Research entdeckt (via Wired). Sie schreiben, dass es sich dabei um mindestens 3000 Phantom-Konten auf GitHub handelt, die Malware oder bösartige Links über Phishing-Repositories verbreiten.

"Das Netzwerk besteht aus mehreren Konten, die bösartige Links und Malware verbreiten und andere Aktionen durchführen, wie z. B. das (Favorisieren per Stern), Forken und Abonnieren von bösartigen Repositories, um sie als legitim erscheinen zu lassen", schreibt Check Point. Das Prinzip ist relativ einfach: Je mehr Likes, also GitHub-Sterne, eine Repository hat, desto legitimer sieht sie auch aus, über Sterne können Nutzer sie auch als Quasi-Lesezeichen ablegen.


Hauptverantwortlich dafür soll eine Gruppe oder eine Person sein, die die Sicherheitsforscher Stargazer Goblin genannt haben. Diese(r) tarnt die Malware-Aktionen auch durch legitimes Auftreten bzw. entsprechend "normale" Aktionen. "Die Art und Weise, wie er es entwickelt hat, ist wirklich clever und nutzt die Funktionsweise von GitHub gut aus", sagt Antonis Terefos, der Entdecker von Stargazer.

"Distribution as a Service"

Das Netzwerk selbst wird als ausgeklügelte Operation, die als "Distribution as a Service" (DaaS) fungiert, beschrieben. Als Malware, die über Stargazer verteilt wurde und wird, nennt Check Point diverse Schadsoftware-Familien, darunter Atlantida Stealer, Rhadamanthys, RisePro, Lumma Stealer und RedLine.

Im Visier von Stargazer stehen vor allem GitHub-Repositories, die Windows-Downloads von Tools für soziale Medien, Spiele und Kryptowährungen anbieten. Die Dienste bietet Stargazer Goblin in einschlägigen Foren und via Telegram an, als Gesamteinkommen dieser Kampagne schätzen die Sicherheitsforscher rund 100.000 Dollar.


Siehe auch: