Sicherheitsforscher von Apiiro haben Aktivitäten von Angreifern festgestellt, die auf GitHub modifizierte Klone von Repositories verschiedener Projekte veröffentlichen. Diese Nachemplarungen enthalten kleinere Änderungen, die darauf abzielen, böswillige Handlungen durchzuführen. In der Regel wird ein bösartiges Repository unter dem gleichen Namen erstellt, aber an eine andere Organisation angehängt ("github.org/org1/proj" -> "github.org/org2/proj"), oder es trägt einen leicht abgewandelten Namen (Typografiefehler), in der Hoffnung, dass das Opfer die Unterschiede nicht bemerkt und den Code mit den schädlichen Änderungen verwendet. Um Benutzer anzulocken, werden Links zu den bösartigen Repositories aktiv in verschiedenen sozialen Netzwerken, Foren und Chats verbreitet.
Es wird berichtet, dass über 100.000 ähnliche Repositories gefunden wurden, aber laut den Forschern könnte die Gesamtzahl der veröffentlichten Repositories mit schädlichen Modifikationen Millionen betragen, da der Großteil der automatisch erstellten Repositories innerhalb weniger Stunden nach ihrer Veröffentlichung von GitHub gelöscht wird. Unter den Masken, die zur Erkennung schädlicher Einfügungen in hochgeladenen Repositories verwendet werden können, werden erwähnt: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
Der angehängte schädliche Code ist eine modifizierte Version von BlackCap-Grabber, die nach dem Start nach vertraulichen Daten sucht, wie z. B. Kontoparametern, Tokens, im Browser gespeicherten Passwörtern und Cookies, und diese an der Server die Angreifer sendet. Der schädliche Code unterstützt auch das Ersetzen von Kryptowährungsadressen, die über die Zwischenablage übertragen werden, kann Screenshots erstellen und Befehle vom Command-and-Control-Server empfangen Server (C&C)
Quelle: opennet.ru
