#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Операция RepoGhost представляет собой вредоносную кампанию, в рамках которой с использованием поддельных проектов на GitHub распространяются скрипты, непосредственно запускающие инфостилеры. Вредоносное ПО нацелено на данные браузеров, мессенджеров, игровых платформ и криптовалют, использует .NET-нагрузки в оперативной памяти и PowerShell, а также избегает систем с русскоязычной локализацией. Ранее были обнаружены варианты CountLoader и инфостилера Nova для macOS, что указывает на связь с операторами из России.
-----

Операция RepoGhost представляет собой продолжающуюся вредоносную кампанию, активную как минимум с ноября 2025 года, которая использует репозитории GitHub для распространения ВПО, замаскированных под легитимные проекты в области искусственного интеллекта, кибербезопасности, криптовалют, криптографии и исследования уязвимостей. Исследователи выявили 52 вредоносных репозитория. Репозитории используют убедительную документацию, поддельные инструменты PoC, а также искусственно завышенные количества звёзд и форков для повышения видимости в результатах поиска GitHub и поисковых систем. В отличие от кампаний, которые доставляют ZIP-архивы или используют поддельные порталы для загрузки, RepoGhost внедряет вредоносный код непосредственно в скрипты, запуск которых пользователям предписывается.

Один репозиторий, выдававший себя за PoC для CVE-2026-41940, содержал нерелевантный код и запускал `scriptrunner.exe` — легитимный компонент Microsoft App-V — для проксирования выполнения скрытого PowerShell. Скрипт PowerShell был получен с Pastebin и скачал `main.exe` с `172.237.119.163:8000`, сохранив его в каталоге TEMP Windows перед запуском. Исполняемый файл на базе Go был скомпилирован с функциональностью, связанной с шеллкодом, и загрузил обфусцированную сборку .NET непосредственно в память, а не записывая её на диск. Сборка установила соединение с `194.102.104.141:22310` и в режиме выполнения идентифицировала себя как `mid4`.

.NET-нагрузка, выполняемая в оперативной памяти, функционирует как стиллер информации. К её возможностям относятся сбор учетных данных и сессий, сохраненных в браузере, токенов сессий Discord, сессий Телеграм, сессий Steam, данных криптографических кошельков и другой конфиденциальной информации. Она проверяет локаль операционной системы Windows с помощью WMI и завершает работу при обнаружении `ru-RU`, что указывает на намеренное исключение систем с русскоязычной локалью.

История коммитов репозитория выявила более ранние методы доставки. Python-нагрузка, закодированная в Base64, содержала отдельные ветки для Windows и macOS. Ветка для macOS загружала и выполняла бинарный файл с именем `Peravi` с адреса `217.156.122.146`, который был идентифицирован как вариант macOS-инфостилера Nova. Более ранняя доставка для Windows извлекала Go-стилер с `pypi3.cc`, за чем следовали загрузки на основе PowerShell с адресов `85.120.255.252:8000` и `2.27.63.236:8000`.

Наиболее ранний установленный этап кампании распространял CountLoader с помощью шестнадцатерично закодированных скриптов, которые выполняли полезную нагрузку `mshta`, размещенную на доменах, включая `python3-library-node.com`. Эволюция вредоносного ПО и механизм исключения русского языка подтверждают оценку о том, что операция связана с угрожающими акторами, связанными с Россией.