Анализ на наличието на зловреден код в експлойти, публикувани в GitHub

Изследователи от университета в Лайден в Холандия проучиха проблема с публикуването на фиктивни прототипи на експлойт в GitHub, съдържащ злонамерен код за атака на потребители, които се опитаха да използват експлойта, за да тестват за уязвимост. Бяха анализирани общо 47313 2017 хранилища за експлойт, обхващащи известни уязвимости, идентифицирани от 2021 до 4893 г. Анализът на експлойтите показа, че 10.3 (XNUMX%) от тях съдържат код, който извършва злонамерени действия. На потребителите, които решат да използват публикувани експлойти, се препоръчва първо да ги проверят за наличие на подозрителни вмъквания и да стартират експлойти само във виртуални машини, изолирани от основната система.

Идентифицирани са две основни категории злонамерени експлойти: експлойти, които съдържат злонамерен код, например за оставяне на задна врата в системата, изтегляне на троянски кон или свързване на машина към ботнет, и експлойти, които събират и изпращат поверителна информация за потребителя . Освен това е идентифициран и отделен клас безобидни фалшиви експлойти, които не извършват злонамерени действия, но също така не съдържат очакваната функционалност, например създадени да подвеждат или да предупреждават потребителите, изпълняващи непроверен код от мрежата.

Бяха използвани няколко проверки за идентифициране на злонамерени експлойти:

• Експлойт кодът беше анализиран за наличието на вградени публични IP адреси, след което идентифицираните адреси бяха допълнително проверени спрямо бази данни с черни списъци на хостове, използвани за управление на ботнети и разпространение на злонамерени файлове.
• Експлойтите, доставени в компилиран вид, бяха проверени в антивирусен софтуер.
• Кодът беше идентифициран за наличието на необичайни шестнадесетични изхвърляния или вмъквания във формат base64, след което тези вмъквания бяха декодирани и изследвани.

Източник: opennet.ru