Turvauuringute ettevõte Apiiro tuvastas pahatahtlike isikute tegevuse, kes postitavad GitHubis muudetud kloone erinevate projektide hoidlatest, kuhu on tehtud väikesed muudatused, mis on suunatud pahatahtlike tegevuste teostamisele. Reeglina luuakse pahatahtlik hoidla sama nimega, kuid see on seotud teise organisatsiooniga ("github.org/org1/proj" -> "github.org/org2/proj") või sellise nimega, mis veidi erineb originaalist (typosquatting), lootes, et ohver ei märka erinevusi ja kasutab pahatahtlike muudatustega koodi. Kasutajate meelitamiseks postitatakse lingid pahatahtlikele hoidlatele aktiivselt erinevatesse sotsiaalsete võrgustike, foorumitesse ja vestlustesse.
Teatatud on enam kui 100 000 sarnase hoidla tuvastamisest, kuid teadlaste arvates võib pahatahtlike muudatustega hoidlate koguarv ulatuda miljonitesse, kuna enamik automaatselt loodud hoidlatest eemaldatakse GitHubi jõudude poolt mõne tunni jooksul pärast postitamist. Maskide seas, mida saab kasutada laaditud hoidlate pahatahtlike sisendite tuvastamiseks, mainitakse: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
pahatahtlik kood on muudetud versioon BlackCap-Grabbersist, mis käivitusel otsib konfidentsiaalseid andmeid, nagu konto parameetrid, tokenid, salvestatud brauseri paroolid ja küpsised, ning saadab need server rünnakute sooritajatele. Pahatahtlik kood toetab ka krüptovaluuta aadresside asendamist, mis edastatakse lõikepuhvrisse, suudab teha ekraanipilte ja vastu võtta käske valitsuselt serverid (C&C)
Allikas: opennet.ru
