GitHub, una plataforma esencial para desarrolladores, se ha convertido en una herramienta ideal para la distribución de malware. Un informe de Cisco Talos ha revelado una campaña que explota esta plataforma de manera encubierta para distribuir cargas maliciosas.
Uso de GitHub para distribuir malware
Desde febrero de 2025, una operación sofisticada ha estado utilizando GitHub para diseminar malware. Esta campaña sigue un modelo malware-as-a-service (MaaS), vendiendo herramientas de ataque como servicios en la nube. Los operadores se valen de GitHub para distribuir enlaces que parecen inocentes.
Los atacantes han logrado camuflar el código malicioso en tráfico regular, aprovechando la confianza que genera GitHub. Mediante un loader llamado Emmenhtal, dividen el proceso en capas para ocultar el código, ejecutando scripts que descargan software dañino.
El malware principal, Amadey, se conoce desde 2018 y recopila datos del sistema infectado. Lo innovador es que los archivos adicionales se alojan en GitHub, lo que los hace parecer legítimos.
Repositorios camuflados y técnicas de ocultación
Cuentas como Legendary99999 han alojado más de 160 repositorios con archivos maliciosos. Los atacantes enviaban enlaces a las víctimas simulando descargas legítimas.
No es un caso aislado. Cuentas como Milidmdds también siguen este patrón, ocultando malware detrás de nombres inofensivos. Las muestras incluyen programas conocidos como Rhadamanthys y Lumma, incluso herramientas legítimas como PuTTY y Selenium WebDriver.
El método: una vez infectado, el sistema descarga el archivo requerido desde GitHub. Esta estrategia permite operar con flexibilidad, utilizando desde troyanos hasta scripts escondidos como archivos MP4.
Reacción y continuidad del problema
Tras el informe de Talos, GitHub eliminó las cuentas implicadas. Sin embargo, el problema subyacente es el uso estratégico de plataformas legítimas para actividades maliciosas.
El aprovechamiento de servicios confiables plantea un desafío constante en la ciberseguridad. Las organizaciones deben estar alertas para detectar tales amenazas y proteger sus entornos de manera efectiva.
Esta operación demuestra cómo plataformas esenciales como GitHub pueden ser manipuladas, haciendo crucial el balance entre accesibilidad y seguridad.
Dejar un comentario