I ricercatori della sicurezza di Apiiro hanno rilevato l'attività di attaccanti che pubblicano su GitHub cloni modificati di repository di vari progetti, a cui vengono apportate piccole modifiche mirate a compiere azioni malevole. Di norma, il repository malevolo viene creato con lo stesso nome ma associato a un'altra organizzazione («github.org/org1/proj» -> «github.org/org2/proj»), oppure con un nome leggermente diverso dall'originale (typosquatting), nella speranza che la vittima non noti le differenze e utilizzi il codice con le modifiche malevole. Per attirare gli utenti, i link ai repository malevoli vengono attivamente pubblicati su vari social network, forum e chat.
È stato segnalato il rinvenimento di oltre 100.000 repository simili, ma secondo i ricercatori il numero totale di repository pubblicati con modifiche malevole potrebbe ammontare a milioni, poiché la maggior parte dei repository creati automaticamente viene eliminata da GitHub poche ore dopo la pubblicazione. Tra i filtri che si possono utilizzare per rilevare la presenza di inserimenti malevoli nei repository caricati, si segnalano: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
Il codice malevolo allegato è una versione modificata di BlackCap-Grabber, che dopo l'avvio ricerca dati sensibili, come le credenziali degli account, i token, le password memorizzate nel browser e i cookie, e li invia a server gli attaccanti. Il codice malevolo supporta anche la sostituzione degli indirizzi di criptovalute trasmessi tramite il copia e incolla, può creare screenshot e ricevere comandi dal server di comando server (C&C)
Fonte: opennet.ru
