Apiiro turvauurijad tuvastasid kurjategijate tegevust, kes postitavad GitHub'i modifitseeritud kloone erinevate projektide hoidlatest, kus tehakse väikseid muudatusi, mis on suunatud pahatahtlike toimingute sooritamisele. Tavalise praktikana luuakse pahatahtlik hoidla sama nimega, kuid see on seotud teise organisatsiooniga ("github.org/org1/proj" -> "github.org/org2/proj") või veidi teistsuguse nimega originaalist (typosquatting), lootes, et ohver ei märka erinevusi ja kasutab kahjulike muudatustega koodi. Kasutajate meelitamiseks jagatakse linke pahatahtlikele hoidlatele aktiivselt erinevates sotsiaalmeedia kanalites, foorumites ja vestlustes.
On teatavasti on leitud rohkem kui 100 000 sarnast repositooriumi, kuid teadlaste hinnangul võib kogu pahatahtlike muudatustega repositooriumite arv koguda miljonitesse, kuna enamik automaatselt loodud repositooriume kustutatakse GitHubi poolt mõne tunni jooksul pärast nende üleslaadimist. Pahatahtlike sisendite avastamiseks laaditud repositooriumites võib kasutada järgmisi maske: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
Kasutatav pahatahtlik kood on muudetud versioon BlackCap-Grabberist, mis käivitamisel otsib konfidentsiaalset teavet, nagu konto parameetrid, tokenid, salvestatud brauseri paroolid ja küpsised, ning saadab need server ründajatele. Pahavara toetab samuti krüptovaluutade aadresside asendamist, mis edastatakse lõikelauale, võib luua ekraanipilte ja vastu võtta käske juhtimiskeskusest serverile (C&C)
Allikas: opennet.ru
