Astaroth银行木马
网络安全研究人员发现了一个新攻击活动，该活动正在传播 Astaroth 银行木马，该木马故意利用合法服务作为后备，以躲过被清除的命运。攻击者不再仅仅依赖防御者可以定位和破坏的传统命令与控制 (C2) 服务器，而是将恶意软件配置数据托管在 GitHub 上，并通过隐写术将其嵌入到图像中——这使得恶意软件即使在基础设施被控制或禁用后也能恢复并继续运行。
目录
GitHub 和隐写术如何成为备份 C2
攻击者将配置 blob 放入公共 GitHub 存储库的镜像中。当该木马无法访问其主 C2 服务器时，它会从这些镜像文件中提取更新的配置数据——这实际上将一个知名的代码托管平台变成了一个弹性备份传输通道。由于数据隐藏在镜像中，它会混入正常的流量和存储库中，使检测和删除变得更加复杂。安全团队与微软旗下的平台合作，删除了有问题的存储库，这暂时扰乱了攻击活动，但这种设计明显是为了抵御未来的删除。
地理重点和先前活动
当前的攻击活动主要集中在巴西，尽管 Astaroth 过去曾针对广泛的拉丁美洲国家，包括墨西哥、乌拉圭、阿根廷、巴拉圭、智利、玻利维亚、秘鲁、厄瓜多尔、哥伦比亚、委内瑞拉和巴拿马。这与 Astaroth 早期的活动一致：研究人员在 2024 年 7 月和 10 月标记了相关集群（追踪为 PINEAPPLE 和 Water Makara），它们使用网络钓鱼诱饵传播同一恶意软件家族。
感染链
攻击通常始于一条带有 DocuSign 主题的钓鱼邮件，其中包含一个链接。该链接会发送一个包含 Windows 快捷方式 (.lnk) 的 ZIP 文件。打开 LNK 文件会启动一个经过混淆的 JavaScript 存根，它会从外部托管的服务器获取额外的 JavaScript 代码。获取到的 JavaScript 代码会从多个硬编码服务器中的一个下载多个文件。这些文件中包含一个由 JavaScript 有效载荷执行的 AutoIt 脚本；该 AutoIt 脚本会加载并运行 Shellcode，然后加载一个基于 Delphi 的 DLL。该 DLL 会解密 Astaroth 有效载荷，并将其注入新创建的 RegSvc.exe 进程，从而完成部署。
Astaroth 对受感染主机的作用
Astaroth 使用 Delphi 实现，旨在监控用户的网络活动，尤其关注对银行和加密货币相关网站的访问。它每秒检查一次活动浏览器窗口；当检测到目标银行或加密货币网站时，它会挂钩键盘事件以捕获按键并获取凭证。该木马使用 Ngrok 反向代理隧道将窃取的数据传回攻击者，即使在直接 C2 连接受限的情况下也能实现数据泄露。
观察目标示例
研究人员列出了一系列被恶意软件监控的银行和加密相关网站：
- caixa.gov.br
- safra.com.br
- itau.com.br
- bancooriginal.com.br
- santandernet.com.br
- btgpactual.com
- etherscan.io
- binance.com
- bitcointrade.com.br
- metamask.io
- foxbit.com.br
- localbitcoins.com
反分析能力
Astaroth 包含多种反分析技术。它会探测环境中是否存在虚拟化、仿真、调试和常用分析工具（例如 QEMU Guest Agent、HookExplorer、IDA Pro、Immunity Debugger、PE Tools、WinDbg、Wireshark 等工具），并在检测到此类工具时自行终止。这些检查使防御者进行动态分析和沙盒攻击更加困难。
持久性、地理围栏和区域设置检查
为了保持持久性，该恶意活动会在 Windows 启动文件夹中放置一个快捷方式，该快捷方式会在 Windows 重启时调用 AutoIt 脚本，确保恶意软件自动重新启动。感染链包含地理围栏：LNK 获取的初始 URL 会根据地区进行定位，并且恶意软件还会验证系统语言环境——避免在设置为英语/美国语言环境的计算机上运行。这些安全措施缩小了受害者范围，并减少了意外暴露的风险。
运营影响
通过滥用 GitHub 托管隐秘的配置更新，运营者为 Astaroth 创建了一个轻量级、难以被攻破的备份通道。研究人员与微软旗下的 GitHub 平台合作，移除了恶意代码库，从而暂时中断了攻击活动。使用合法服务进行回退表明，防御者在 C2 追踪过程中需要监控云和代码托管平台的滥用情况。
概括
此次攻击活动凸显了防御者必须考虑的两个趋势：(1) 威胁行为者越来越多地使用受信任的第三方平台作为弹性基础设施；(2) 现代恶意软件混合了多种脚本和编译组件（JavaScript → AutoIt → Shellcode → Delphi DLL），使分析和持久性移除变得复杂。基于 GitHub 的配置回退、有针对性的地理围栏、强大的反分析检查以及浏览器活动监控，使得 Astaroth 成为一种极具弹性且侵犯隐私的银行木马。警惕网络钓鱼诱饵、监控异常的 GitHub 镜像活动以及能够识别多阶段攻击链的强大端点检测是检测和阻止感染的关键。
