GitHub에 악의적인 변경이 포함된 포크의 물결이 기록되었습니다.

GitHub는 백도어를 포함하여 복사본에 악의적인 변경 사항을 도입하면서 인기 있는 프로젝트의 대량 생성 및 복제 활동을 공개했습니다. 악성코드에서 접속한 호스트명(ovz1.j19544519.pr46m.vps.myjino.ru)을 검색한 결과, GitHub에서 포크를 포함한 다양한 저장소의 클론과 포크에 존재하는 35개 이상의 변경 사항이 존재하는 것으로 나타났습니다. 암호화, golang, Python, js, bash, docker 및 k8s.

이 공격은 사용자가 원본을 추적하지 않고 기본 프로젝트 저장소 대신 약간 다른 이름을 가진 포크 또는 복제본의 코드를 사용한다는 사실을 목표로 합니다. 현재 GitHub는 악의적인 삽입이 포함된 대부분의 포크를 이미 제거했습니다. 검색 엔진을 통해 GitHub를 방문하는 사용자는 코드를 사용하기 전에 저장소와 기본 프로젝트의 관계를 주의 깊게 확인하는 것이 좋습니다.

추가된 악성코드는 AWS 및 지속적 통합 시스템에 대한 토큰을 훔칠 목적으로 환경 변수의 내용을 외부 서버로 전송했습니다. 또한 백도어가 코드에 통합되어 공격자의 서버에 요청을 보낸 후 반환되는 셸 명령을 실행했습니다. 대부분의 악성 변경 사항은 6~20일 사이에 추가되었지만 악성 코드가 2015년부터 추적될 수 있는 일부 리포지토리도 있습니다.

출처 : opennet.ru