Злоумышленники используют службу кеширования GitHub для криптоджекинга

Олег Иванов 01 Августа 2018 - 09:40

...

Злоумышленники используют службу кеширования GitHub для криптоджекинга

В действиях киберпреступников, похоже, прослеживается тенденция к использованию GitHub и связанных с ним сервисов для сокрытия вредоносных скриптов-майнеров, которые работают в браузере. Впоследствии эти скрипты используются на взломанных сайтах.

За последние месяцы исследователи отметили множество кампаний, в ходе которых киберпреступники использовали GitHub. Первый из таких случаев был зарегистрирован еще в декабре прошлого года.

Тогда злоумышленники загружали скриптоджекинговые скрипты, используя аккаунты GitHub, после чего уже передавали их на взломанные сайты через домен GitHub.io.

Несколько месяцев спустя мошенники реализовали похожую схему, но вместо использования домена GitHub.io, они переключились на GitHub CDN — raw.githubusercontent.com.

Затем, когда преступники обнаружили, что их схема раскрыта, они переметнулись на использование новых URL для загрузки вредоносного содержимого — github.com/user/repository/raw/.

И вот теперь специалисты ИБ-компании Sucuri сообщают о новом интересном способе, с помощью которого злоумышленникам удается использовать крупнейший веб-сервис для хостинга IT-проектов.

Преступники задействовали RawGit — CDN-сервис, который кеширует файлы GitHub. Удобно это тем, что работает даже в случае с удаленными файлами и аккаунтами GitHub.

Таким образом, как сообщает Sucuri, в недавней вредоносной кибероперации преступники загрузили версию злонамеренного майнера в учетную запись GitHub с именем jdobt. После этого злоумышленники закешировали вредоносный скрипт внутри RawGit и удалили этот аккаунт.

Заключительным этапом мошенники загрузили майнящий скрипт на взломанные сайты с помощью URL-адреса RawGit. Этот домен обычно считается чистым и не подвержен дополнительным проверкам со стороны антивирусных решений.

Как отметили специалисты, это очень интересный способ, злоумышленники оказались находчивыми.

Однако есть и недостатки — специалисты утверждают, что в некоторых случаях загруженный на взломанные сайты вредоносный скрипт для майнинга криптовалюты просто не отрабатывал.

Следующая главная новость »

Подписывайтесь на телеграм-канал AM Live, чтобы всегда быть в курсе самых горячих и свежих новостей. Присоединяйтесь! »

Екатерина Быстрова 08 Января 2026 - 12:27

Android Трояны Домашние пользователи

Новая волна Ghost Tap тащит деньги у владельцев Android-смартфонов

Ваш смартфон может оказаться единственным «соучастником», который нужен мошеннику, чтобы опустошить банковский счёт — даже если карта всё это время лежит у вас в кошельке. Group-IB выпустила отчёт о стремительно растущем подпольном рынке Android-инструментов с поддержкой NFC, с помощью которых злоумышленники проводят удалённые бесконтактные платежи.

Исследователи назвали эту схему Ghost Tap. По сути, это цифровая версия карманной кражи: между картой жертвы и платёжным терминалом преступника выстраивается «мост» через интернет.

Такие инструменты активно продаются в телеграм-каналах, а ключевую роль в их распространении играют группы, связанные с китайским киберпреступным сообществом.

Схема завязана на ретрансляции NFC-сигнала и обычно использует два Android-приложения:

Reader — устанавливается на телефон жертвы. Его распространяют через СМС-фишинг или телефонные звонки под предлогом «проверки личности», «обновления платёжных данных» или «подтверждения карты». Пользователя просят приложить карту к смартфону.
Tapper — работает уже на устройстве мошенника. Он эмулирует карту жертвы и передаёт сигнал на платёжный терминал.

В итоге оплата проходит так, будто карта действительно находится рядом с POS-терминалом. Физического доступа к ней не требуется — достаточно одного «проверочного» касания.

Ghost Tap — это не эксперимент энтузиастов, а вполне себе налаженный бизнес. Group-IB обнаружила сразу несколько «брендов», конкурирующих между собой: TX-NFC, X-NFC, NFU Pay и другие. Они продают доступ к своим инструментам по подписке — от $45 в день до $1 000+ за три месяца.

Всего аналитики зафиксировали не менее 54 различных APK-вариантов. Некоторые продавцы предлагают круглосуточную «техподдержку», работая посменно, чтобы клиенты могли выводить деньги в любое время.

Но украсть данные карты — полдела. Для обналичивания используются нелегально полученные POS-терминалы, которые тоже спокойно продаются в Telegram. В отчёте упоминается группа Oedipus, торговавшая терминалами крупных финансовых организаций на Ближнем Востоке, в Северной Африке и Азии.

По данным Group-IB, только через одного такого продавца с ноября 2024 по август 2025 года прошло как минимум $355 тысяч нелегальных транзакций.