В GitHub е записана вълна от разклонения със злонамерени промени

GitHub разкри активност в масовото създаване на разклонения и клонинги на популярни проекти, с въвеждането на злонамерени промени в копията, включително задната врата. Търсене на името на хоста (ovz1.j19544519.pr46m.vps.myjino.ru), достъпът до който е достъпен от зловреден код, показа наличието на повече от 35 хиляди промени в GitHub, присъстващи в клонове и разклонения на различни хранилища, включително разклонения на crypto, golang, python, js, bash, docker и k8s.

Атаката е насочена към факта, че потребителят няма да проследи оригинала и ще използва код от разклонение или клонинг с малко по-различно име вместо главното хранилище на проекта. В момента GitHub вече е премахнал повечето разклонения със злонамерено вмъкване. Потребителите, идващи в GitHub от търсачките, се съветват внимателно да проверят връзката на хранилището с основния проект, преди да използват код от него.

Добавеният злонамерен код изпрати съдържанието на променливите на средата към външен сървър с намерението да открадне токени към AWS и системи за непрекъсната интеграция. Освен това в кода беше интегрирана задна врата, която стартира команди на обвивката, върнати след изпращане на заявка до сървъра на нападателите. Повечето от злонамерените промени са добавени преди 6 до 20 дни, но има някои хранилища, където злонамереният код може да бъде проследен до 2015 г.

Източник: opennet.ru