Investigadores de seguridad de la empresa Apiiro han detectado actividad de ciberdelincuentes que están publicando en GitHub clones modificados de repositorios de varios proyectos, en los que se realizan pequeños cambios dirigidos a llevar a cabo actividades maliciosas. Generalmente, el repositorio malicioso se crea con el mismo nombre, pero vinculado a otra organización ("github.org/org1/proj" -> "github.org/org2/proj"), o con un nombre algo diferente al original (typosquatting), con la expectativa de que la víctima no note las diferencias y utilice el código con modificaciones maliciosas. Para atraer a los usuarios, los enlaces a los repositorios maliciosos se publican activamente en diversas redes sociales, foros y chats.
Se informa de la detección de más de 100,000 repositorios similares, pero según los investigadores, el número total de repositorios publicados con modificaciones maliciosas podría ascender a millones, ya que la gran mayoría de los repositorios creados automáticamente son eliminados por GitHub unas pocas horas después de su publicación. Entre los patrones que se pueden usar para detectar la presencia de inserciones maliciosas en los repositorios cargados se mencionan: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
El código malicioso incluido es una versión modificada de BlackCap-Grabber, que, tras su ejecución, busca datos confidenciales, como credenciales de cuentas, tokens, contraseñas guardadas en el navegador y cookies, y los envía a servidor los atacantes. El código malicioso también soporta la sustitución de direcciones de criptomonedas que se transmiten a través del portapapeles, puede tomar capturas de pantalla y recibir comandos de un controlador servidores (C&C)
Fuente: opennet.ru
