Un repositorio de GitHub, ya eliminado, que promocionaba una herramienta de WordPress, permitió la exfiltración de más de 390.000 credenciales. Esta actividad maliciosa forma parte de una campaña llevada a cabo por un actor de amenazas denominado MUT-1244, identificado por Datadog Security Labs.
Operativa y tácticas del ataque
MUT-1244 utiliza repositorios de GitHub troyanizados que albergan código de prueba de concepto (PoC) para explotar fallas de seguridad conocidas. Además, emplea correos electrónicos de phishing como medio para entregar una carga útil de segunda etapa capaz de robar información del sistema, claves SSH privadas y variables de entorno.
Uno de los repositorios afectados era github.com/hpc20235/yawpp, que contenía dos scripts: uno para validar credenciales de WordPress y otro para crear publicaciones mediante la API XML-RPC. El proyecto también incluía una dependencia no autorizada del paquete @0xengine/xmlrpc en el repositorio npm, que implementaba el malware.
Distribución de la carga útil
La herramienta permitió la exfiltración de más de 390.000 credenciales, probablemente para cuentas de WordPress, a una cuenta de Dropbox controlada por un atacante al comprometer actores de amenazas no relacionados que tenían acceso a estas credenciales.
Otro método utilizado consiste en enviar correos electrónicos de phishing a académicos, engañándolos para que visiten enlaces que les indican que inicien la terminal y copien y peguen un comando de shell para realizar una supuesta actualización del kernel. Esta táctica se considera la primera vez que se documenta un ataque al estilo ClickFix contra sistemas Linux.
Repositorios falsos y PoC maliciosos
MUT-1244 también utiliza usuarios maliciosos de GitHub que publican pruebas de concepto falsas para CVE. La mayoría de estos repositorios se crearon en octubre o noviembre de 2024, no tienen actividad legítima y poseen una foto de perfil generada por IA.
Algunos de estos repositorios PoC falsos fueron previamente destacados por Alex Kaganovich, jefe global del equipo rojo de seguridad ofensiva de Colgate-Palmolive. El malware de segunda etapa se activa de cuatro formas diferentes: archivo de compilación con puerta trasera, carga útil maliciosa incrustada en un PDF, uso de un Dropper de Python y inclusión de un paquete npm malicioso llamado 0xengine/meow.
Impacto del ataque
MUT-1244 pudo comprometer el sistema de docenas de víctimas, en su mayoría miembros del equipo rojo, investigadores de seguridad y personas interesadas en descargar código de explotación. Esto le permitió obtener acceso a información confidencial como claves SSH privadas, credenciales de AWS e historial de comandos.
Los investigadores de seguridad han sido un objetivo atractivo para los actores de amenazas debido al potencial de obtener información sobre posibles exploits relacionados con fallas de seguridad no reveladas. En los últimos años, ha surgido una tendencia en la que los atacantes intentan sacar provecho de las revelaciones de vulnerabilidades mediante repositorios falsos que afirman albergar PoC para las fallas, pero en realidad están diseñados para llevar a cabo robos de datos.