גל של מזלגות עם שינויים זדוניים תועד ב-GitHub

GitHub חשף פעילות ביצירה המונית של מזלגות ושיבוטים של פרויקטים פופולריים, עם הכנסת שינויים זדוניים לתוך העותקים, כולל דלת אחורית. חיפוש אחר שם המארח (ovz1.j19544519.pr46m.vps.myjino.ru), שאליו ניתן לגשת מקוד זדוני, הראה נוכחות של יותר מ-35 אלף שינויים ב-GitHub, הקיימים בשבטים ומזלגות של מאגרים שונים, כולל מזלגות של crypto, golang, python, js, bash, docker ו-k8s.

המתקפה מכוונת לעובדה שהמשתמש לא יעקוב אחר המקור וישתמש בקוד ממזלג או שיבוט עם שם מעט שונה במקום מאגר הפרויקטים הראשי. נכון לעכשיו, GitHub כבר הסירה את רוב המזלגות עם הכנסה זדונית. למשתמשים המגיעים אל GitHub ממנועי חיפוש מומלץ לבדוק היטב את הקשר של המאגר עם הפרויקט הראשי לפני השימוש בקוד ממנו.

הקוד הזדוני שנוסף שלח את התוכן של משתני הסביבה לשרת חיצוני מתוך כוונה לגנוב אסימונים ל-AWS ולמערכות אינטגרציה מתמשכות. בנוסף, שולבה דלת אחורית בקוד, פקודות שיגור של מעטפת שהוחזרו לאחר שליחת בקשה לשרת התוקפים. רוב השינויים הזדוניים נוספו בין 6 ל-20 ימים, אך ישנם כמה מאגרים שבהם ניתן לאתר קוד זדוני עד 2015.

מקור: OpenNet.ru