Атакующие используют популярный ресурс для хостинга проектов и обмена программным обеспечением SourceForge для распространения майнеров и трояна ClipBanker под видом приложений Microsoft Office. С данной активностью уже столкнулось порядка 5000 российских пользователей.

🔗 Цепочка заражения
Злоумышленники создали проект на одном из доменов SourceForge (sourceforge.io), предлагая бесплатно скачать популярные приложения Microsoft. На странице отображался список офисных программ, но вместо них по ссылке загружался вредоносный архив.

В архиве находились два файла:
⏺️Запароленный архив;
⏺️Текстовый документ с паролем.

После распаковки защищённого архива на компьютер жертвы проникали две вредоносные программы:
⏺️Майнер, использующий ресурсы ПК для добычи криптовалюты в пользу злоумышленников;
⏺️ClipBanker — троян, подменяющий адреса криптокошельков для кражи средств.

Внутри вложенного архива находился файл размером 700 МБ вероятно для убеждения жертвы в подлинности файла, но реальный вредоносный код занимал всего 7 МБ. Остальной объём был заполнен «мусором». Данная техника получила название File Pumping.

❗️Несмотря на то что в данный момент атака направлена на криптовалюту, в будущем злоумышленники могут продавать доступ к заражённым устройствам или использовать их для других атак.

👀 Как обманули SourceForge?

1️⃣Атакующие воспользовались особенностью платформы: проекты на sourceforge.net автоматически получают дополнительный домен на sourceforge.io.
2️⃣На основном сайте они разместили безвредное ПО, а на дополнительном — описание «офисных программ» с вредоносной ссылкой.

В качестве мер предосторожности можно посоветовать пользователем подходить к загрузке программного обеспечения более осмысленно и скачивать программы только из официальных источников.