Sikkerhedsforskere fra Apiiro har afsløret aktivitet fra kriminelle, der placerer modificerede kloner af repository'er for forskellige projekter på GitHub, hvor der laves små ændringer med henblik på at udføre skadelige handlinger. Som regel oprettes det skadelige repository med det samme navn, men tilknyttet en anden organisation ("github.org/org1/proj" -> "github.org/org2/proj"), eller med et navn, der er lidt forskelligt fra det originale (typosquatting), i håbet om at offeret ikke vil lægge mærke til forskellene og vil bruge koden med de skadelige ændringer. For at tiltrække brugere deles links til de skadelige repository'er aktivt på forskellige sociale netværk, fora og chats.
Der rapporteres om identificering af over 100.000 sådanne repository'er, men ifølge forskernes formodninger kan det samlede antal publicerede repository'er med skadelige ændringer nå op på millioner, da størstedelen af automatisk oprettede repository'er bliver fjernet af GitHub inden for få timer efter deres offentliggørelse. Blandt de mønstre, der kan anvendes til at bestemme tilstedeværelsen af skadelige indsatser i de uploadede repository'er, nævnes: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
Det vedhæftede skadelige kode er en modificeret version af BlackCap-Grabber, der efter lancering søger efter fortrolige oplysninger såsom kontoindstillinger, tokens, gemte adgangskoder i browseren og cookies, og sender dem til server angriberne. Den skadelige kode understøtter også substitution af kryptovalutaadresser, der overføres via udklipsholderen, kan tage screenshots og modtage kommandoer fra kontrolcentret server (C&C)
Kilde: opennet.ru
