Istraživači sigurnosti iz tvrtke Apiiro otkrili su aktivnosti zlonamjernih aktera koji na GitHub postavljaju modificirane klonove repozitorija različitih projekata, u koje se unose male promjene namijenjene izvršavanju zlonamjernih radnji. Obično se zlonamjerni repozitorij stvara s istim imenom, ali pripada drugoj organizaciji („github.org/org1/proj“ -> „github.org/org2/proj“), ili sa malo drugačijim imenom od originalnog (typosquatting), s ciljem da žrtva ne primijeti razlike i iskoristi kod sa zlonamjernim promjenama. Za privlačenje korisnika, linkovi na zlonamjerne repozitorije aktivno se oglašavaju na raznim društvenim mrežama, forumima i chatovima.
Izvještava se o otkrivanju više od 100 tisuća sličnih repozitorija, ali prema pretpostavkama istraživača, ukupni broj objavljenih repozitorija s zlonamjernim promjenama mogao bi biti milijunski, budući da se velika većina automatski stvorenih repozitorija uklanja od strane GitHub-a nekoliko sati nakon objave. Među obrazcima koji se mogu koristiti za utvrđivanje prisutnosti zlonamjernih umetnina u učitanim repozitorijima spominju se: exec(Fernet, exec(requests, exec(__import, exec(bytes, exec(“””\nimport, exec(compile, __import__(“builtins”).exec(
Priključeni zlonamjerni kod predstavlja modificiranu verziju BlackCap-Grabbera koja, nakon pokretanja, pretražuje povjerljive podatke, poput podataka o računima, tokena, spremljenih lozinki u pregledniku i kolačića, te ih šalje na server napadače. Zlonamjerni kod također podržava zamjenu adresa kriptovaluta koje se prenose preko međuspremnika, može izraditi snimke zaslona i primati naredbe od kontrolora poslužitelja (C&C)
Izvor: opennet.ru
