Шахраї поширюють шкідливі інсталятори ChatGPT і популярних програм через GitHub і SourceForge
Цього разу хакери пішли на хитрість, ховаючи фальшиві інсталятори та плагіни на популярних платформах GitHub і SourceForge. До списку підробок увійшли знайомі багатьом користувачам програми: ChatGPT, Claude, AutoTune, Kontakt, Ableton Live та ZENOLOGY. В результаті завантаження цих файлів жертви отримують не корисний софт, а приховану шпигунську програму DinDoor — бекдор, який завантажує троян віддаленого доступу, написаний на середовищі Deno JavaScript, повідомляють фахівці Malwarebytes.
Як жертви потрапляють у пастку?
Зловмисники використовують скомпрометовані YouTube-канали, щоб заманити користувачів на шкідливі репозиторії. Відео з рекламою підроблених інструментів вже має понад 50 000 переглядів. Не зупиняючись на одному акаунті, шахраї регулярно змінюють GitHub-облікові записи та створюють декілька репозиторіїв, щоб оновити пастки після видалення старих. Представники Malwarebytes повідомили про цей випадок GitHub, де шкідливі ресурси було видалено, але чекати нових спроб варто.
Механізм зараження
На сторінках зловмисних репозиторіїв користувачам пропонується відкрити термінал і вставити спеціальну команду, що завантажує MSI-інсталятор або PowerShell-скрипт з GitHub. Підтримуються як Windows, так і macOS.
Після запуску скрипт активує менеджер пакетів Scoop і утиліту WinGet, щоб встановити законне середовище Deno. Саме Deno потім запускає DinDoor — бекдор, який завантажується безпосередньо з віддаленого сервера, при цьому наступні компоненти виконуються безпосередньо в оперативній пам’яті, не залишаючи слідів на диску.
DinDoor налаштовує автозапуск через ключ реєстру, передає інформацію про систему командно-контрольному серверу й завантажує додаткові шкідливі модулі. У досліджених випадках один із таких модулів — троян Smokest, також побудований на Deno, що свідчить про одного й того ж розробника чи команду.
Що саме вміє цей далекобійник (RAT)?
Ця шкідлива програма відкриває хакерам зручний доступ до комп’ютера жертви й дозволяє:
- виконувати будь-які команди та скрипти PowerShell,
- знімати скріншоти робочого столу,
- керувати файлами, запускати та припиняти процеси,
- створювати SOCKS5 проксі для прихованого трафіку.
Вбудований модуль крадіжки даних націлений на понад 50 розширень криптогаманців і 10 додатків, серед яких Atomic Wallet, Exodus, Electrum і ByteCoin. Крім того, збирається інформація з браузерів на базі Chromium (Chrome, Brave, Edge, Opera, Vivaldi) та популярних месенджерів Telegram, Discord і Lightcord.
Особливість потокової трансляції екрану
Одна із вражаючих функцій RAT — можливість виводити живе відео з монітора жертви. Для цього троян непомітно запускає браузер Microsoft Edge, підключається через протокол Chrome DevTools і вбудовує WebRTC-сторінку. Завдяки цьому відеокадри шифруються й напряму передаються хакерам по peer-to-peer каналу, причому весь трафік проходить через легітимний браузерний процес, що значно ускладнює його виявлення системами захисту.
Чому це працює: комбінація довіри та хитрощів
Зловмисники грамотно використовують платформу GitHub і SourceForge, які мають високий авторитет серед розробників, а також звичні для просунутих користувачів інструменти Scoop, WinGet і Deno. В їх руках це ефективний спосіб обходити увагу антивірусів, адже встановлюється офіційне середовище й немає підпису під підозрілими файлами.
За словами Габріеле Оріні, інженера з досліджень Malwarebytes, саме цільова аудиторія — креативники, фанати штучного інтелекту, геймери та технічно підковані користувачі — найактивніше завантажують софт з неофіційних джерел, що робить їх уразливими.
