هشدار LastPass: مخازن جعلی GitHub در کمین کاربران مک

هکرها با ساختن مخازن جعلی در GitHub و جا زدن برنامه‌های تقلبی مثل LastPass یا Dropbox، کاربران مک را فریب می‌دهند تا بدافزار خطرناک Atomic Stealer را روی سیستمشان نصب کنند.

به گزارش افتانا، شرکت LastPass نسبت به یک کمپین گسترده سرقت اطلاعات که کاربران سیستم‌عامل macOS اپل را هدف گرفته، هشدار داده. در این حملات از مخازن جعلی GitHub استفاده می‌شود که برنامه‌های آلوده را با ظاهری مشابه ابزارهای معتبر منتشر می‌کنند.

محققان تیم Threat Intelligence, Mitigation, and Escalation (TIME) شرکت LastPass گفته‌اند: در مورد LastPass، این مخازن جعلی، قربانیان احتمالی را به مخزنی هدایت می‌کردند که درنهایت بدافزار Atomic Infostealer را دانلود می‌کرد.

فراتر از LastPass، ابزارهای محبوب دیگری هم جعل شده‌اند، از جمله 1Password، Basecamp، Dropbox، Gemini، Hootsuite، Notion، Obsidian، Robinhood، Salesloft، SentinelOne، Shopify، Thunderbird و TweetDeck. همه این مخازن جعلی برای هدف قرار دادن سیستم‌های macOS طراحی شده‌اند.

روش حمله شامل استفاده از تکنیک بهینه‌سازی موتور جست‌وجو (SEO poisoning) است تا لینک‌های مربوط به سایت‌های مخرب GitHub در نتایج بالای جست‌وجو در Bing و Google ظاهر شوند. این لینک‌ها کاربران را تشویق می‌کنند با کلیک روی دکمه‌ای مانند Install LastPass on MacBook نرم‌افزار را دانلود کنند؛ در حالی که در واقع به یک صفحه GitHub جعلی هدایت می‌شوند.

LastPass در این باره توضیح داده است: این صفحات GitHub با نام‌های کاربری مختلف ایجاد می‌شوند تا از حذف شدن توسط GitHub جلوگیری کنند.

صفحه GitHub قربانی را به دامنه دیگری منتقل می‌کند که دستورالعمل‌هایی به سبکClickFix ارائه می‌دهد؛ دستوراتی که کاربر باید در برنامه Terminal کپی و اجرا کند. اجرای این دستورات باعث نصب بدافزارAtomic Stealer می‌شود.

شایان ذکر است کمپین‌های مشابهی پیش‌تر از طریق تبلیغات اسپانسر گوگل برایHomebrew مشاهده شده بود که با استفاده از یک مخزن جعلی GitHub توزیع می‌شد. این بدافزار قادر بود محیط‌های مجازی یا تحلیلی را شناسایی کرده، دستورات سیستمی را رمزگشایی و اجرا کند و در نهایت با یک سرور راه دور ارتباط برقرار کند.

در هفته‌های اخیر، مهاجمان همچنین از مخازن عمومی GitHub برای میزبانی بارهای مخرب و توزیع آن‌ها از طریق بدافزار Amadey استفاده کرده‌اند. علاوه بر این، از روش dangling commits مرتبط با مخازن رسمی GitHub بهره گرفته‌اند تا کاربران بی‌خبر را به برنامه‌های آلوده هدایت کنند.