#malware #supplychain #github #reversing
Вредоносный форк macOS-приложения Triton на GitHub. Атакующий подменил все download-ссылки в README на ZIP с Windows-малварью, замаскированный под Xcode-ассет. VT: 12/66.
Цепочка:
7za.exe с паролем infected -> batch-скрипт -> LuaJIT (редкий движок, AV его почти не детектят).C2: domain fronting через
officeapps.live.com, геолокация через ip-api.com, blockchain dead drop через Polygon RPC.Почему провалилось:
➡️ Windows-малварь для macOS-аудитории
➡️ Нишевое приложение с нулевой базой
➡️ Репозиторий затегирован словом "malware"
Бинарник сделан толково, а стратегия провалена. Похожие форки нашлись в сотнях репозиториев - кампания работает минимум год.
🔗 Полный разбор в blog.poxek
🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK