یک دسته حملات بدافزاری جدید با مضمون مالیات، بخش‌های بیمه و دارایی را مورد هدف قرار داده است و از لینک‌های GitHub در ایمیل‌های فیشینگ به عنوان راهی برای دور زدن مکانیزم‌های امنیتی و ارائه تروجان Remcos RAT استفاده می‌کند.
جذابیت این حملات فیشینگ در ارائه پیشنهادات تمدید زمان مالیات با توجه به فرصت کم باقی مانده است. فایل‌های آرشیو موجود در مخزن GitHub دارای رمز عبور به منظور جلوگیری از اسکن توسط نرم افزارهای امنیتی هستند و حاوی تروجان دسترسی از راه دور Remcos می‌باشند.
GitHub یک پلتفرم توسعه دهنده است که امکان همکاری آزاد در پروژه‌های نرم افزاری را فراهم می‌آورد. بخش کامنت GitHub را می‌توان به منظور تسهیل ارتباط بین توسعه دهندگان، به مخزن کد منبع اضافه کرد. محتوای این کامنت‌ها (نظرات) ممکن است شامل تغییرات پیشنهادی، اطلاعات بیشتر از یک کاربر در مورد یک موضوع یا مستندات باشد، اما محدود به آن نیست و می‌تواند به صورت متن قالب بندی شده، لینک‌های خارجی و پیوست ارسال شوند.
یک کامنت در GitHub که یک فایل را بدون اینکه آن را به مخزن اختصاص دهد آپلود کرده است
کامنت‌ها برای مدیریت پروژه با استفاده از مسائل و مشکلات GitHub مفید هستند. توسعه‌دهندگان نرم افزار می‌توانند از آن برای مستندسازی مسائل، ایجاد تسک‌های خرد برای مشارکت‌کنندگان جدید، دریافت ویژگی‌های جدید و ایجاد نقشه راه برای پیشرفت نرم افزار استفاده کنند.
کامنت‌های GitHub برای یک هکر هم مفید هستند چرا که بدافزار را می‌توان به یک کامنت در یک مخزن GitHub بدون نیاز به آپلود آن در فایل کد منبع آن مخزن متصل کرد. این بدان معناست که مخزن قانونی GitHub هر سازمانی که دارای بخش کامنت است می‌تواند حاوی فایل‌های تایید نشده خارج از کد بررسی شده باشد.
این ضعف قبلاً توسط هکرها برای ارائه Redline Stealer از طریق مخازن مرتبط با مایکروسافت مورد سوء استفاده قرار گرفته است. فایل‌های غیرمجاز که از طریق کامنت‌ها آپلود می‌گردند به دایرکتوری‌های فرعی فایل‌ها ختم می‌شوند:
فایل‌ها می‌توانند از طریق بخش کامنت GitHub با یک مخزن قانونی مرتبط شوند (مثلاً مخزن cpython پایتون) اما در کد قابل مشاهده نباشند. جالب است که کامنت اصلی حاوی فایل‌های بدافزار را می‌توان حذف کرد، اما لینک بدافزار باقی خواهد ماند.
دانلود فایل آرشیو Remcos RAT که با وجود حذف کامنت، همچنان فعال باقی مانده است
استفاده از GitHub برای میزبانی بدافزار، تاکتیک جدیدی نیست. ایمیل‌های دارای لینک به GitHub در دور زدن امنیت گیت وی ایمیل موثر هستند زیرا GitHub معمولاً یک دامنه قابل اطمینان است. لینک‌های GitHub به هکرها این امکان را می‌دهند تا مستقیماً به آرشیو بدافزار در ایمیل بدون نیاز به استفاده از تغییر مسیرهای Google، کدهای QR و یا سایر تکنیک‌های دور زدن گیت وی امنیتی ایمیل پیوند دهند.
نمونه ایمیل ارسالی حاوی Remcos RAT با استفاده از لینک کامنت GitHub
از آنجایی که این حمله بدافزاری دارای مضمون مالیاتی بود، هر صنعتی می‌توانست قربانی آن باشد چرا که اغلب سازمان‌ها مالیات پرداخت می‌کنند اما بررسی دقیق‌تر داده‌ها نشان داده است که تنها دو صنعت بیمه و دارایی (مالی) مورد هدف این دسته حملات قرار گرفته‌اند.
خانه » بخش کامنت GitHub برای انتشار Remcos RAT مورد سوء استفاده قرار گرفت!
بخش کامنت GitHub برای انتشار Remcos RAT مورد سوء استفاده قرار گرفت!
اشتراک گذاری
یک دسته حملات بدافزاری جدید با مضمون مالیات، بخش‌های بیمه و دارایی را مورد هدف قرار داده است و از لینک‌های GitHub در ایمیل‌های فیشینگ به عنوان راهی برای دور زدن مکانیزم‌های امنیتی و ارائه تروجان Remcos RAT استفاده می‌کند.
جذابیت این حملات فیشینگ در ارائه پیشنهادات تمدید زمان مالیات با توجه به فرصت کم باقی مانده است. فایل‌های آرشیو موجود در مخزن GitHub دارای رمز عبور به منظور جلوگیری از اسکن توسط نرم افزارهای امنیتی هستند و حاوی تروجان دسترسی از راه دور Remcos می‌باشند.
GitHub یک پلتفرم توسعه دهنده است که امکان همکاری آزاد در پروژه‌های نرم افزاری را فراهم می‌آورد. بخش کامنت GitHub را می‌توان به منظور تسهیل ارتباط بین توسعه دهندگان، به مخزن کد منبع اضافه کرد. محتوای این کامنت‌ها (نظرات) ممکن است شامل تغییرات پیشنهادی، اطلاعات بیشتر از یک کاربر در مورد یک موضوع یا مستندات باشد، اما محدود به آن نیست و می‌تواند به صورت متن قالب بندی شده، لینک‌های خارجی و پیوست ارسال شوند.
کامنت‌ها برای مدیریت پروژه با استفاده از مسائل و مشکلات GitHub مفید هستند. توسعه‌دهندگان نرم افزار می‌توانند از آن برای مستندسازی مسائل، ایجاد تسک‌های خرد برای مشارکت‌کنندگان جدید، دریافت ویژگی‌های جدید و ایجاد نقشه راه برای پیشرفت نرم افزار استفاده کنند.
کامنت‌های GitHub برای یک هکر هم مفید هستند چرا که بدافزار را می‌توان به یک کامنت در یک مخزن GitHub بدون نیاز به آپلود آن در فایل کد منبع آن مخزن متصل کرد. این بدان معناست که مخزن قانونی GitHub هر سازمانی که دارای بخش کامنت است می‌تواند حاوی فایل‌های تایید نشده خارج از کد بررسی شده باشد.
این ضعف قبلاً توسط هکرها برای ارائه Redline Stealer از طریق مخازن مرتبط با مایکروسافت مورد سوء استفاده قرار گرفته است. فایل‌های غیرمجاز که از طریق کامنت‌ها آپلود می‌گردند به دایرکتوری‌های فرعی فایل‌ها ختم می‌شوند:
hxxps[:]//github[.]com/python/cpython/files/12345678/example[.]zip
Note that vetted repository files are accessible from the tree subdirectory:
hxxps[:]//github[.]com/python/cpython/tree/main/Doc
فایل‌ها می‌توانند از طریق بخش کامنت GitHub با یک مخزن قانونی مرتبط شوند (مثلاً مخزن cpython پایتون) اما در کد قابل مشاهده نباشند. جالب است که کامنت اصلی حاوی فایل‌های بدافزار را می‌توان حذف کرد، اما لینک بدافزار باقی خواهد ماند.
استفاده از GitHub برای میزبانی بدافزار، تاکتیک جدیدی نیست. ایمیل‌های دارای لینک به GitHub در دور زدن امنیت گیت وی ایمیل موثر هستند زیرا GitHub معمولاً یک دامنه قابل اطمینان است. لینک‌های GitHub به هکرها این امکان را می‌دهند تا مستقیماً به آرشیو بدافزار در ایمیل بدون نیاز به استفاده از تغییر مسیرهای Google، کدهای QR و یا سایر تکنیک‌های دور زدن گیت وی امنیتی ایمیل پیوند دهند.
از آنجایی که این حمله بدافزاری دارای مضمون مالیاتی بود، هر صنعتی می‌توانست قربانی آن باشد چرا که اغلب سازمان‌ها مالیات پرداخت می‌کنند اما بررسی دقیق‌تر داده‌ها نشان داده است که تنها دو صنعت بیمه و دارایی (مالی) مورد هدف این دسته حملات قرار گرفته‌اند.
منابع
https://cofense.com/blog/tax-extension-malware-campaign
https://thehackernews.com/2024/10/github-telegram-bots-and-qr-codes.html
مقالات پیشنهادی:
Stargazers Ghost: شبکه‌ای از اکانت‌های GitHub برای ارائه بدافزار
بخش کامنت GitHub برای انتشار Lumma Stealer مورد سوء استفاده قرار گرفت
Remcos RAT از طریق بازی‌های مختص گروه سنی بزرگسالان در موج حمله جدید توزیع می‌شود
برچسب ها
آخرین اخبار سایبری
حمله BragJack با سوءاستفاده از یک افزونه مخرب امکان ربایش عامل‌های هوش مصنوعی مرورگرها را فراهم می‌کند
بدافزار اندرویدی RatHat با سوءاستفاده از ADB، دسترسی به محیط Shell را حتی پس از حذف اپلیکیشن حفظ می‌کند
شاینی‌هانترز پس از نفوذ به سایت افشای اطلاعات Clop، این گروه باج‌افزاری را هدف اخاذی قرار داد
یک عامل تهدید فعال در حوزه باگ‌بانتی، با کمک مدل زبانی بزرگ بدافزار رباینده اطلاعات PhantomRaven را در npm توسعه داده است
آسیب‌پذیری Click2Shell در وردپرس امکان نصب اجباری قالب و اجرای کد از طریق زنجیره حمله را فراهم می‌کند
آخرین آسیب پذیری های تحلیل شده
CVE-2026-8932
CVE-2026-69414
CVE-2026-50656
CVE-2026-79911
CVE-2026-53547
CVE-2026-19193
CVE-2026-19195
محبوب‌ترین مقالات سایبری
روشی برای شناسایی بدافزارهای بالقوه iOS
اخاذی ۴۲ میلیون دلاری باج افزار Akira و نفوذ به سرورهای لینوکس
Remcos RAT از طریق بازی‌های مختص گروه سنی بزرگسالان در موج حمله جدید توزیع می‌شود
موج جدید بدافزار JSOutProx، شرکت ها و سرویس های مالی را مورد هدف قرار داد
نفوذ بدافزار more_eggs به استخدام کنندگان در لینکدین توسط فایل رزومه آلوده
مطالب مرتبط
حمله بی رحمانه نسخه جدید تروجان بانکی Grandoreiro به بانک‌های مکزیک!
بدافزار NGate از تراشه NFC برای سرقت اطلاعات کارت اعتباری استفاده می‌کند
پیش بینی جرم افزارها و تهدیدات سایبری مالی برای سال ۲۰۲۵
بررسی وضعیت تهدیدات سایبری مالی در سال ۲۰۲۳