Beveiligingsonderzoekers van Apiiro hebben activiteit van aanvallers ontdekt die op GitHub gewijzigde klonen van repositories van verschillende projecten plaatsen, waarbij kleine wijzigingen worden aangebracht met als doel kwaadwillige acties uit te voeren. Gewoonlijk wordt de kwaadaardige repository gemaakt met dezelfde naam, maar gekoppeld aan een andere organisatie ("github.org/org1/proj" -> "github.org/org2/proj"), of met een naam die iets afwijkt van het origineel (typequoting), in de veronderstelling dat het slachtoffer de verschillen niet opmerkt en gebruik maakt van de code met kwaadaardige wijzigingen. Om gebruikers te lokken, worden links naar kwaadaardige repositories actief gedeeld op verschillende sociale media, forums en chats.
Er wordt gerapporteerd dat er meer dan 100.000 van deze repositories zijn ontdekt, maar volgens onderzoekers kan het totale aantal geplaatste repositories met kwaadaardige wijzigingen in de miljoenen lopen, omdat het overgrote deel van automatisch gemaakte repositories door GitHub binnen enkele uren na plaatsing wordt verwijderd. Onder de masks die kunnen worden gebruikt om kwaadaardige invoegingen in geüploade repositories te identificeren, worden genoemd: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
De aan te sluiten kwaadaardige code is een gewijzigde versie van BlackCap-Grabber, die na het uitvoeren op zoek gaat naar vertrouwelijke gegevens, zoals accountgegevens, tokens, opgeslagen wachtwoorden in de browser en cookies, en deze verzendt naar server de aanvallers. De kwaadaardige code ondersteunt ook het vervangen van cryptocurrency-adressen die via het klembord worden verzonden, kan screenshots maken en commando's ontvangen van de command & control (C&C) de server (C&C)
Bron: opennet.ru
