Angrepskjeden: Fra søkeklikk til skadelig nyttelast

Infeksjonen starter når en bruker søker etter et populært åpen kildekode-verktøy. Angriperne har satt opp en flåte av falske nettsider som etterligner legitime prosjektsider for programvare som Ghidra, dnSpy og SpiderFoot. Disse sidene er godt designet, refererer ofte til ekte ressurser, og rangerer høyt i søkeresultater, slik at de ved første øyekast ser ut som legitime prosjektportaler .

Den tekniske bedragelsen utløses ved brukerinteraksjon. Når et Offer klikker på en «nedlastings»-knapp på en av disse sidene, konverterer et CloudFront-vertet JavaScript-lag det første klikket til en omdirigering. Dette kaprer brukeren inn i kampanjens TDS-infrastruktur .

Gated trafikkstyringssystem: Filtrering for høyverdige mål

TDS fungerer som en sofistikert portvokter, ikke bare en omdirigering. Check Points analyse viser at det bruker flerlags anti-analyse og filtrering for å skille ekte ofre fra sikkerhetsforskere, sandkasser og automatiserte crawlere. Bare brukere som består disse kontrollene, blir rutet til de endelige skadelige nyttelastene . Denne selektive leveringen gjør kampanjen vanskeligere å kartlegge og øker verdien av hver vellykket infeksjon for operatørene. For å unngå oppdagelse ytterligere, bruker systemet teknikker som sesjonsbaserte nøkler og engangsnøkkelutgivelser .

Skadevare-trioen: RemusStealer, AnimateClipper og SessionGate

Kampanjen har blitt observert å levere tre forskjellige skadevarefamilier, hver med sitt eget inntjeningsformål.

• RemusStealer: Dette er et abonnementsbasert infostjeler-verktøy som tilbys som Malware-as-a-Service (MaaS), priset til $250–$500. Det målretter et bredt spekter av sensitiv data, inkludert påloggingsinformasjon fra over 20 nettlesere, data fra mer enn 220 kryptovaluta-lommebokutvidelser, passordadministratorer og 2FA-verktøy .
• AnimateClipper: En kryptovaluta-klipper designet for å kapre transaksjoner i sanntid ved å bytte ut lommebokadressen en bruker kopierer med en som kontrolleres av angriperen. Den er i stand til å overvåke og avskjære transaksjoner på tvers av over 20 forskjellige blokkjedeøkosystemer .
• SessionGate: Dette tidligere udokumenterte rammeverket er en flertrinnslaster som bruker tung obfuskering og omfattende anti-analyse for å levere potensielt uønskede applikasjoner (PUA-er) eller andre nyttelaster. Det fungerer som det første fotfestet og lasteren i de observerte angrepskjedene .

En global, langvarig operasjon

Omfanget av kampanjen er betydelig. Check Point rapporterer at økosystemet har vært aktivt siden slutten av 2025 og har generert over 5 000 VirusTotal-innleveringer, noe som indikerer en bred offergruppe. De primære geografiske målene spenner over hele kloden, med stor aktivitet konsentrert i Tyrkia, Polen, Brasil, Tyskland, Frankrike, Russland og Storbritannia .

For utviklere og sikkerhetseksperter er budskapet klart og presserende. Tiden da man tankeløst lastet ned et verktøy basert på et søkeresultat er forbi. Brukere må bekrefte at de er på et offisielt prosjektlager, gå direkte til en kjent GitHub- eller GitLab-side, og være mistenksomme overfor nedlastinger som ikke umiddelbart leverer den forventede filen. Profesjonaliteten til disse falske sidene gjør visuell inspeksjon alene til et utilstrekkelig forsvar mot et økosystem bygget på stjålet tillit og automatisert bedrag.

Angrepskjeden: Fra søkeklikk til skadelig nyttelast

Infeksjonen starter når en bruker søker etter et populært åpen kildekode-verktøy. Angriperne har satt opp en flåte av falske nettsider som etterligner legitime prosjektsider for programvare som Ghidra, dnSpy og SpiderFoot. Disse sidene er godt designet, refererer ofte til ekte ressurser, og rangerer høyt i søkeresultater, slik at de ved første øyekast ser ut som legitime prosjektportaler .

Den tekniske bedragelsen utløses ved brukerinteraksjon. Når et Offer klikker på en «nedlastings»-knapp på en av disse sidene, konverterer et CloudFront-vertet JavaScript-lag det første klikket til en omdirigering. Dette kaprer brukeren inn i kampanjens TDS-infrastruktur .

Gated trafikkstyringssystem: Filtrering for høyverdige mål

TDS fungerer som en sofistikert portvokter, ikke bare en omdirigering. Check Points analyse viser at det bruker flerlags anti-analyse og filtrering for å skille ekte ofre fra sikkerhetsforskere, sandkasser og automatiserte crawlere. Bare brukere som består disse kontrollene, blir rutet til de endelige skadelige nyttelastene . Denne selektive leveringen gjør kampanjen vanskeligere å kartlegge og øker verdien av hver vellykket infeksjon for operatørene. For å unngå oppdagelse ytterligere, bruker systemet teknikker som sesjonsbaserte nøkler og engangsnøkkelutgivelser .

Skadevare-trioen: RemusStealer, AnimateClipper og SessionGate

Kampanjen har blitt observert å levere tre forskjellige skadevarefamilier, hver med sitt eget inntjeningsformål.

• RemusStealer: Dette er et abonnementsbasert infostjeler-verktøy som tilbys som Malware-as-a-Service (MaaS), priset til $250–$500. Det målretter et bredt spekter av sensitiv data, inkludert påloggingsinformasjon fra over 20 nettlesere, data fra mer enn 220 kryptovaluta-lommebokutvidelser, passordadministratorer og 2FA-verktøy .
• AnimateClipper: En kryptovaluta-klipper designet for å kapre transaksjoner i sanntid ved å bytte ut lommebokadressen en bruker kopierer med en som kontrolleres av angriperen. Den er i stand til å overvåke og avskjære transaksjoner på tvers av over 20 forskjellige blokkjedeøkosystemer .
• SessionGate: Dette tidligere udokumenterte rammeverket er en flertrinnslaster som bruker tung obfuskering og omfattende anti-analyse for å levere potensielt uønskede applikasjoner (PUA-er) eller andre nyttelaster. Det fungerer som det første fotfestet og lasteren i de observerte angrepskjedene .

En global, langvarig operasjon

Omfanget av kampanjen er betydelig. Check Point rapporterer at økosystemet har vært aktivt siden slutten av 2025 og har generert over 5 000 VirusTotal-innleveringer, noe som indikerer en bred offergruppe. De primære geografiske målene spenner over hele kloden, med stor aktivitet konsentrert i Tyrkia, Polen, Brasil, Tyskland, Frankrike, Russland og Storbritannia .

For utviklere og sikkerhetseksperter er budskapet klart og presserende. Tiden da man tankeløst lastet ned et verktøy basert på et søkeresultat er forbi. Brukere må bekrefte at de er på et offisielt prosjektlager, gå direkte til en kjent GitHub- eller GitLab-side, og være mistenksomme overfor nedlastinger som ikke umiddelbart leverer den forventede filen. Profesjonaliteten til disse falske sidene gjør visuell inspeksjon alene til et utilstrekkelig forsvar mot et økosystem bygget på stjålet tillit og automatisert bedrag.