Анализа на присуството на малициозен код во експлоатирањата објавени на GitHub

Истражувачите од Универзитетот Лајден во Холандија го испитуваа прашањето за објавување лажни прототипи за експлоатација на GitHub, кои содржат злонамерен код за напад на корисници кои се обиделе да го искористат експлоатот за тестирање на ранливост. Беа анализирани вкупно 47313 складишта за експлоатација, покривајќи познати ранливости идентификувани од 2017 до 2021 година. Анализата на експлоатирањата покажа дека 4893 (10.3%) од нив содржат код кој врши малициозни дејства. На корисниците кои ќе одлучат да користат објавени експлоатирања им се препорачува прво да ги испитаат за присуство на сомнителни инсерти и да извршат експлоатации само во виртуелни машини изолирани од главниот систем.

Идентификувани се две главни категории на малициозни експлоатирања: експлоатирања што содржат злонамерен код, на пример, за оставање задна врата во системот, преземање тројанец или поврзување машина со ботнет и експлоатации што собираат и испраќаат доверливи информации за корисникот . Дополнително, идентификувана е и посебна класа на безопасни лажни експлоатирања кои не вршат злонамерни дејства, но исто така не ја содржат очекуваната функционалност, на пример, создадена за да ги доведе во заблуда или да ги предупреди корисниците кои користат непроверен код од мрежата.

Беа користени неколку проверки за да се идентификуваат малициозни експлоатирања:

• Експлоит кодот беше анализиран за присуство на вградени јавни IP адреси, по што идентификуваните адреси беа дополнително проверени со бази на податоци со црни листи на хостови што се користат за управување со ботнет и дистрибуција на малициозни датотеки.
• Искористувањата доставени во компајлирана форма беа проверени во антивирусен софтвер.
• Кодот беше идентификуван за присуство на необични хексадецимални депонии или вметнувања во формат base64, по што овие инсерти беа декодирани и испитани.

Извор: opennet.ru