На GitHub са открити над 100 хиляди репозитории с вредоносен код

Изследователи по сигурността от компанията Apiiro откриха активност на злонамерени лица, които публикуват на GitHub модифицирани клони на репозитории на различни проекти, в които се внасят малки промени, целящи да извършат злонамерени действия. Обикновено злонамереният репозиторий се създава с едно и също име, но прикрепен към друга организация ("github.org/org1/proj" -> "github.org/org2/proj"), или с малко променено име (тайпсквотинг), при условие, че жертвата не забележи разликите и използва кода с злонамерени промени. За привличане на потребители, връзки към злонамерени репозитории активно се публикуват в различни социални мрежи, форуми и чатове.

Съобщава се за откритие на повече от 100 хиляди подобни репозитории, но по предположения на изследователите общият брой на публикуваните репозитории с злонамерени промени може да достигне милиони, тъй като преобладаващата част от автоматично създадените репозитории се изтриват от GitHub в рамките на няколко часа след публикуването им. Сред маските, които могат да се използват за определяне наличието на злонамерени вложки в качени репозитории, се споменават: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec("

Прикрепеният злонамерен код представлява модифицирана версия на BlackCap-Grabber, която след стартиране извършва търсене на конфиденциални данни, като параметри на акаунти, токени, запазени в браузъра пароли и Cookie, и изпраща тези данни на сървър злонамеренците. Злонамереният код също така поддържа замяна на адреси на криптовалути, предавани чрез буфера за обмен, може да създава екранни снимки и да приема команди от контролиращия сървър (C&C)

Източник: opennet.ru