Bezpečnostní výzkumníci ze společnosti Apiiro odhalili aktivitu útočníků, kteří na GitHubu zveřejňují modifikované klony repozitářů různých projektů, do nichž jsou provedeny drobné změny zaměřené na škodlivé činnosti. Obvykle je škodlivý repozitář vytvořen se stejným názvem, ale přiřazen k jiné organizaci („github.org/org1/proj“ -> „github.org/org2/proj“) nebo s mírně odlišným názvem (typosquatting), s předpokladem, že oběť si rozdílů nevšimne a využije kód s nebezpečnými změnami. Pro lákání uživatelů jsou odkazy na škodlivé repozitáře aktivně umisťovány do různých sociálních sítí, fór a chatů.
Bylo oznámeno o odhalení více než 100 tisíc podobných repozitářů, ale podle odhadů výzkumníků může celkový počet zveřejněných repozitářů se škodlivými změnami činit miliony, protože drtivá většina automaticky vytvořených repozitářů je odstraňována společností GitHub během několika hodin po jejich zveřejnění. Mezi maskami, které lze použít k určení přítomnosti škodlivých vložek v nahraných repozitářích, se zmiňují: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
Připojený škodlivý kód představuje modifikovanou verzi BlackCap-Grabber, která po spuštění vyhledává citlivé údaje, jako jsou přihlašovací údaje, tokeny, uložená hesla v prohlížeči a cookie, a odesílá je na server útočníky. Škodlivý kód také podporuje substituci adres kryptoměn přenášených přes schránku, může vytvářet snímky obrazovky a přijímat příkazy od řídícího serveru (C&C)
Zdroj: opennet.ru
