На GitHub са открити над 100 хиляди репозитория с зловреден код

Изследователи по сигурност от компанията Apiiro установиха активност на злоумышленици, които публикуват в GitHub изменени клонообразни репозитории на различни проекти, в които се правят малки изменения, целящи да извършат злонамерени действия. Обикновено злонамереният репозиторий се създава със същото име, но прикрепено към друга организация („github.org/org1/proj“ -> „github.org/org2/proj“), или с малко различаващо се от оригинала име (тайпсквотинг), с надеждата, че жертвата няма да забележи разликите и ще използва кода с вредоносни изменения. За привличане на потребители, линковете към злонамерените репозитории активно се публикуват в различни социални мрежи, форуми и чатове.

Съобщава се за откритие на повече от 100 хиляди подобни репозитория, но по предположения на изследователите общото число на публикуваните репозитории с вредоносни изменения може да се изчислява на милиони, тъй като подавляващата част от автоматично създадените репозитории се изтриват от GitHub в рамките на няколко часа след публикуването им. Сред маските, които могат да се използват за определяне наличието на злонамерени вставки в качените репозитории, се споменават: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(

Прикаченият злонамерен код представлява модифицирана версия на BlackCap-Grabber, която след стартиране търси конфиденциални данни, като параметри на акаунти, токени, запазени в браузъра пароли и Cookie, и ги изпраща на сървър атакуващите. Злонамереният код също така поддържа замяна на адреси за криптовалути, предавани чрез буфера на клипборда, може да създава скриншотове и да приема команди от управляващия сървър (C&C)

Източник: opennet.ru