Los atajos salen caros, también en defensa.
En “GPUGate” Malware Abuses Google Ads and GitHub to Deliver Advanced Malware Payload nos contaban cómo atacaban a usuarios poco vigilantes mediante anuncios y enlaces a GitHub.
- Aparece un anuncio malicioso, que apunta a un enlace que aparentemente es de GitHub, con un producto que parece ‘interesante’ (GitHub Desktop)
The attack begins with malicious advertising, where attackers place a sponsored ad at the top of Google search results for terms like “GitHub Desktop.” This ad directs users to what appears to be a legitimate GitHub page.
- El enlace lleva a un página de GitHub dentro de un repositorio, todo parece legítimo, pero allí hay enlaces de descarga alterados.
In reality, the link leads to a specific, manipulated “commit” page within a repository. This page looks authentic, retaining the repository’s name and metadata, but contains altered download links that point to an attacker-controlled domain.
- Para evitar los filtros de contenido el tamaño del instalador es muy grande (para aprovecharse de que muchos mecanismos de seguridad que tienen limitación de tamaño).
What makes GPUGate particularly notable is its unique evasion method. The initial installer is a large 128 MB file, designed to bypass security sandboxes that often have file size limits.
- Finalmente, y para evadir la vigilancia mejor, solo se activa en caso de que haya disponible una GPU.
Its most innovative feature is a GPU-gated decryption routine. The malware will only decrypt its malicious payload if it detects a real, physical GPU with a device name longer than ten characters, Arctic Wolf said.
En este caso se está abusando de la confianza en los anuncios de Google, y en las páginas de GitHub. Pero eso es un problema, claro.
This “trust bridge” exploits the user’s confidence in both Google and GitHub to deliver the malicious payload.
Además, se implantan algunas medidas que son habituales en las máquinas de vigilancia y de los analistas, lo que haría más difícil la detección y análisis.
Curioso.