Ricercatori di sicurezza di Apiiro hanno scoperto attività malevole su GitHub, dove sono stati pubblicati cloni modificati di repository di vari progetti, con piccole modifiche mirate a compiere azioni dannose. Generalmente, il repository dannoso viene creato con lo stesso nome, ma associato a un'altra organizzazione (‘github.org/org1/proj’ -> ‘github.org/org2/proj’), o con un nome leggermente diverso dall'originale (typosquatting), con l'intento che la vittima non noti le differenze e utilizzi il codice con le modifiche dannose. Per attirare gli utenti, i link ai repository malevoli vengono attivamente condivisi su vari social media, forum e chat.
Si segnala la scoperta di oltre 100.000 repository simili, ma secondo gli studiosi, il numero totale di repository con modifiche dannose potrebbe contare in milioni, poiché la maggior parte dei repository creati automaticamente viene rimossa da GitHub poche ore dopo la loro pubblicazione. Tra i pattern utilizzabili per identificare la presenza di inserimenti malevoli nei repository caricati, si citano: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
Il codice malevolo allegato rappresenta una versione modificata di BlackCap-Grabber, che, una volta avviata, effettua la ricerca di dati riservati, come credenziali di accesso, token, password salvate nel browser e cookie, e li invia a un server gli aggressori. Il codice malevolo supporta anche la sostituzione degli indirizzi delle criptovalute trasmessi tramite il sistema degli appunti, può catturare screenshot e ricevere comandi da un server di comando e controllo server (C&C)
Fonte: opennet.ru
