Una PNG che contiene un Trojan. Astaroth abusa GitHub con persistenza

Redazione RHC : 14 Ottobre 2025 16:00

I ricercatori di McAfee hanno segnalato una nuova attività del trojan bancario Astaroth, che ha iniziato a utilizzare GitHub come canale persistente per la distribuzione dei dati di configurazione.

Questo approccio consente agli aggressori di mantenere il controllo sui dispositivi infetti anche dopo la disattivazione dei server di comando e controllo primari, aumentando significativamente la capacità di sopravvivenza del malware e complicandone la neutralizzazione.

L’attacco inizia con un’e-mail di phishing mascherata da notifica di servizi popolari come DocuSign o contenente presumibilmente il curriculum di un candidato. Il corpo dell’e-mail contiene un collegamento per scaricare un archivio ZIP.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

All’interno è presente un file di collegamento (.lnk) che avvia JavaScript nascosto tramite mshta.exe. Questo script scarica un nuovo set di file da un server remoto, il cui accesso è geograficamente limitato: il malware viene scaricato solo sui dispositivi nelle regioni prese di mira.

Il kit scaricato include uno script AutoIT, un interprete AutoIT, il corpo crittografato del Trojan stesso e un file di configurazione separato. Lo script distribuisce lo shellcode in memoria e inietta un file DLL nel processo RegSvc.exe, utilizzando tecniche di bypass dell’analisi e la sostituzione dell’API standard kernel32.dll.

Il modulo scaricato, scritto in Delphi, controlla accuratamente l’ambiente: se viene rilevato un sandbox, un debugger o un sistema con impostazioni locali in inglese, l’esecuzione viene immediatamente terminata.

Astaroth monitora costantemente le finestre aperte. Se l’utente visita il sito web di una banca o di un servizio di criptovaluta, il trojan attiva un keylogger, intercettando tutte le sequenze di tasti. Prende di mira nomi di classi di Windows, come Chrome, Mozilla, IEframe e altri. Le risorse prese di mira includono i siti web delle principali banche brasiliane e piattaforme di criptovaluta, tra cui Binance, Metamask , Etherscan e LocalBitcoins. Tutti i dati rubati vengono trasmessi al server degli aggressori utilizzando un protocollo proprietario o tramite il servizio reverse proxy Ngrok.

Una caratteristica unica di questa campagna è che Astaroth utilizza GitHub per aggiornare la propria configurazione. Ogni due ore, il trojan scarica un’immagine PNG da un repository aperto contenente una configurazione crittografata steganograficamente. I repository scoperti contenevano immagini con un formato di denominazione predefinito e sono stati prontamente rimossi su richiesta dei ricercatori. Tuttavia, questo approccio dimostra come le piattaforme legittime possano essere utilizzate come canale di comunicazione di riserva per il malware.

Per infiltrarsi nel sistema, il trojan inserisce un collegamento nella cartella di avvio, assicurandosi che venga eseguito automaticamente a ogni avvio del computer. Nonostante la complessità tecnica dell’attacco, il vettore principale rimane l’ingegneria sociale e la fiducia degli utenti nelle e-mail.

Durante l’indagine, gli specialisti hanno scoperto che la maggior parte dei contagi si concentra in Sud America, principalmente in Brasile, ma anche in Argentina, Colombia, Cile, Perù, Venezuela e altri paesi della regione. Sono possibili casi anche in Portogallo e Italia.

McAfee sottolinea che tali schemi evidenziano la necessità di una maggiore vigilanza quando si lavora con piattaforme aperte come GitHub, poiché gli aggressori le utilizzano sempre più spesso per aggirare i tradizionali meccanismi di blocco. L’azienda ha già segnalato repository dannosi, che sono stati prontamente rimossi, interrompendo temporaneamente la catena di aggiornamenti di Astaroth.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli