Az Apiiro biztonsági kutatói felfedezték a rosszindulatú felhasználók tevékenységét, akik módosított klónokat helyeznek el a GitHubon különböző projektek tárolóiból, amelyekben apróbb módosításokat hajtanak végre, amelyek célja a rosszindulatú cselekedetek végrehajtása. Általában a rosszindulatú tárolót ugyanazzal a névvel hozzák létre, de egy másik szervezathoz kapcsolódva ("github.org/org1/proj" -> "github.org/org2/proj"), vagy a névhöz egy kicsit más variációt alkalmazva (typosquatting), számítva arra, hogy az áldozat nem veszi észre a különbséget, és a módosított kódot használja. A felhasználók bevonása érdekében a rosszindulatú tárolókra mutató linkeket aktívan közzéteszik különböző közösségi média platformokon, fórumokon és csevegőszobákban.
Több mint 100 ezer hasonló tároló észleléséről számoltak be, de a kutatók feltételezése szerint a rosszindulatú módosításokat tartalmazó tárolók összlétszáma milliókra tehető, mivel a többség a GitHub által automatikusan létrehozott tárolóknak néhány órával a közzétételük után törlésre kerül. Azon maszkok között, amelyek használhatók a rosszindulatú beillesztések azonosítására a feltöltött tárolókban, említik: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(.
A rosszindulatú kód a BlackCap-Grabber módosított verzióját képviseli, amely a futtatás után a bizalmas adatok, például a fiókparaméterek, tokenek, böngészőben mentett jelszavak és cookie-k keresésére irányul, és azokat továbbítja. szerver a támadóknak. A rosszindulatú kód támogatja a kriptovaluta címek cseréjét a vágólapból, képernyőképeket készíthet, és utasításokat fogadhat a vezérlőtől. a szerver (C&C)
Forrás: opennet.ru
