Các nhà nghiên cứu từ nhóm bảo mật Talos của Cisco đã phát hiện ra một nhà điều hành phần mềm độc hại dưới dạng dịch vụ đã sử dụng các tài khoản GitHub công khai làm kênh để phân phối một loại phần mềm độc hại cho các mục tiêu.
Việc sử dụng GitHub đã mang lại cho phần mềm độc hại dưới dạng dịch vụ (MaaS) một nền tảng đáng tin cậy và dễ sử dụng, được bật đèn xanh trong nhiều mạng doanh nghiệp dựa vào kho lưu trữ mã cho phần mềm mà họ phát triển. GitHub đã xóa ba tài khoản lưu trữ tải trọng độc hại ngay sau khi được Talos thông báo.
“Ngoài việc là một phương tiện lưu trữ tệp dễ dàng, việc tải xuống các tệp từ kho GitHub có thể bỏ qua quá trình lọc Web không được định cấu hình để chặn miền GitHub, các nhà nghiên cứu của” Talos Chris Neal và Craig Jackson viết thứ năm. “Trong khi một số tổ chức có thể chặn GitHub trong môi trường của họ để hạn chế việc sử dụng công cụ tấn công nguồn mở và phần mềm độc hại khác, nhiều tổ chức có nhóm phát triển phần mềm yêu cầu quyền truy cập GitHub ở một mức độ nào đó. Trong những môi trường này, việc tải xuống GitHub độc hại có thể khó phân biệt với lưu lượng truy cập web thông thường.”
Emmenhtal, gặp Amadey
Chiến dịch mà Talos cho biết đã diễn ra từ tháng 2, sử dụng trình tải phần mềm độc hại đã biết trước đó được theo dõi dưới những cái tên bao gồm Emmenhtal và PeakLight. Các nhà nghiên cứu từ công ty bảo mật Mạng Palo Alto và cơ quan mạng nhà nước lớn của Ukraine SSSCIP đã ghi lại việc sử dụng Emmenhtal trong một chiến dịch riêng biệt nhúng trình tải vào các email độc hại để phân phối phần mềm độc hại cho các thực thể Ukraine. Talos đã tìm thấy biến thể Emmenhtal tương tự trong hoạt động MaaS, chỉ lần này trình tải mới được phân phối thông qua GitHub.
Chiến dịch sử dụng GitHub khác với chiến dịch nhắm mục tiêu vào các thực thể Ukraine theo một cách quan trọng khác. Trong khi tải trọng cuối cùng trong tải trọng nhắm mục tiêu vào các thực thể Ukraine là một cửa sau độc hại được gọi là SmokeLoader, thì tải trọng GitHub đã cài đặt Amadey, một nền tảng phần mềm độc hại riêng biệt được biết đến. Amadey được nhìn thấy lần đầu tiên vào năm 2018 và ban đầu được sử dụng để lắp ráp botnet. Talos cho biết chức năng chính của Amadey là thu thập thông tin hệ thống từ các thiết bị bị nhiễm và tải xuống một bộ tải trọng thứ cấp được tùy chỉnh theo đặc điểm riêng của chúng, dựa trên mục đích cụ thể trong các chiến dịch khác nhau.
Sau khi mục tiêu bị nhiễm Amadey, người điều hành chiến dịch có thể chọn tải trọng nào sẽ phân phối tới mục tiêu đó thông qua URL GitHub đơn giản. Talos nhận thấy rằng chiến dịch do GitHub lưu trữ có thể là một phần của hoạt động MaaS lớn hơn. Các nhà nghiên cứu giải thích:
MaaS là một mô hình kinh doanh trong đó các nhà khai thác dịch vụ bán quyền truy cập vào phần mềm độc hại hoặc cơ sở hạ tầng có sẵn. Trong hoạt động mà Talos đã xác định, các nhà khai thác đã sử dụng Amadey để tải xuống nhiều dòng phần mềm độc hại từ kho GitHub giả lên các máy chủ bị nhiễm. Hoạt động ban đầu xuất hiện vào tháng 2 năm 2025, cùng thời điểm với chiến dịch SmokeLoader.
Việc phân phối một số dòng phần mềm độc hại khác nhau từ một cơ sở hạ tầng duy nhất cho thấy rằng các tác nhân đe dọa đằng sau các trường hợp của Amadey đang phân phối tải trọng cho các cá nhân hoặc nhóm khác. Ngoài ra, cơ sở hạ tầng chỉ huy và điều khiển (C2) cho tải trọng thứ cấp không trùng lặp với cơ sở hạ tầng của Amadey.
Các tập lệnh Emmenhtal trong chiến dịch có thiết kế bốn lớp giống nhau. Ba trong số các lớp đóng vai trò là biện pháp che giấu. Lớp thứ tư cung cấp tập lệnh tải xuống PowerShell cuối cùng.
Talos cũng tìm thấy các tài khoản GitHub lưu trữ phần mềm độc hại được ngụy trang dưới dạng tệp MP4 và trình tải dựa trên Python tùy chỉnh có tên checkbalance.py.
Bài đăng hôm thứ Năm cung cấp danh sách các chỉ số mà quản trị viên và người bảo vệ có thể sử dụng để xác định xem mạng có bị nhắm mục tiêu trong chiến dịch hay không.
Lỗ hổng này, được theo dõi là CVE-2025-53770, có mức độ nghiêm trọng là 9,8/10. Nó cung cấp quyền truy nhập từ xa không được xác thực vào Máy chủ SharePoint được hiển thị trên Internet. Bắt đầu từ thứ Sáu, các nhà nghiên cứu bắt đầu cảnh báo về việc khai thác tích cực lỗ hổng, ảnh hưởng đến Máy chủ SharePoint mà khách hàng cơ sở hạ tầng chạy nội bộ. SharePoint Online được lưu trữ trên đám mây của Microsoft và Microsoft 365 không bị ảnh hưởng.
Không phải webshell điển hình của bạn
Microsoft xác nhận các cuộc tấn công vào việc khai thác ngày 0 vào thứ Bảy. Một ngày sau, công ty đã cập nhật bài đăng để cung cấp bản cập nhật khẩn cấp vá lỗ hổng và bản cập nhật liên quan được theo dõi là CVE-2025-53771, trong Phiên bản đăng ký SharePoint và SharePoint 2019. Khách hàng sử dụng một trong hai phiên bản nên áp dụng các bản cập nhật ngay lập tức. SharePoint 2016 vẫn chưa được vá tại thời điểm bài đăng Ars này đi vào hoạt động. Microsoft nói rằng các tổ chức sử dụng phiên bản này nên cài đặt các Giao diện quét phần mềm chống phần mềm độc hại.
Chuỗi khai thác được quan sát có liên quan chặt chẽ với các chuỗi được chứng minh vào tháng 5 tại cuộc thi hack Pwn2Own ở Berlin cho hai lỗ hổng riêng biệt. Các lỗ hổng bị khai thác, được theo dõi là CVE-2025-49704 và CVE-2025-49706, đã được vá một phần hai tuần trước trong bản phát hành cập nhật hàng tháng của Microsoft. Các bản vá cuối tuần này dành cho CVE-2025-53770 và CVE-2025-53771 bao gồm “các biện pháp bảo vệ mạnh mẽ hơn ” tương ứng cho CVE-2025-49704 và CVE-2025-49706 của Microsoft nói rằng".
.jpg)
