Pesquisadores de segurança da Apiiro detectaram a atividade de atacantes que publicam no GitHub clonas modificadas de repositórios de vários projetos, nos quais são feitas pequenas alterações destinadas a ações maliciosas. Normalmente, o repositório malicioso é criado com o mesmo nome, mas ligado a outra organização ("github.org/org1/proj" -> "github.org/org2/proj"), ou com um nome ligeiramente diferente do original (typosquatting), na expectativa de que a vítima não note as diferenças e utilize o código com alterações maliciosas. Links para repositórios maliciosos são amplamente divulgados em diversas redes sociais, fóruns e chats para atrair usuários.
Mais de 100 mil desses repositórios foram identificados, mas os pesquisadores acreditam que o número total de repositórios publicados com alterações maliciosas pode ser na casa dos milhões, já que a maior parte dos repositórios criados automaticamente é removida pelo GitHub algumas horas após sua publicação. Entre as máscaras que podem ser usadas para identificar a presença de inserções maliciosas nos repositórios carregados, mencionam-se: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
O código malicioso anexado é uma versão modificada do BlackCap-Grabber, que, ao ser executado, busca dados confidenciais, como credenciais de contas, tokens, senhas salvas no navegador e cookies, e os envia para servidor atacantes. O código malicioso também suporta a substituição de endereços de criptomoedas transmitidos através da área de transferência, pode tirar capturas de tela e receber comandos do controlador servidor (C&C)
Fonte: opennet.ru
