Cercetătorii în securitate de la compania Apiiro au descoperit activitatea infractorilor care postează pe GitHub clone modificate ale diferitelor proiecte, în care sunt aduse mici modificări menite să faciliteze acțiuni malefice. De obicei, depozitul malițios este creat cu același nume, dar asociat cu o altă organizație („github.org/org1/proj” -> „github.org/org2/proj”), sau cu un nume ușor diferit de original (typosquatting), cu speranța că victima nu va observa diferențele și va folosi codul cu modificările malițioase. Pentru a atrage utilizatorii, linkuri către depozitele malițioase sunt activează pe diverse rețele sociale, forumuri și chat-uri.
Se raportează că au fost identificate peste 100 de mii de astfel de depozite, dar, conform cercetătorilor, numărul total de depozite cu modificări malițioase ar putea ajunge la milioane, deoarece majoritatea depozitelor create automat sunt șterse de GitHub în decurs de câteva ore de la publicare. Printre modele care pot fi folosite pentru a identifica prezența inserțiilor malițioase în depozitele încărcate se menționează: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
Codul malițios atașat reprezintă o versiune modificată a BlackCap-Grabber, care, după lansare, căută date confidențiale, cum ar fi informațiile de cont, tokenuri, parolele salvate în browser și cookie-uri, pe care le trimite serverul atacatorilor. Codul malițios suportă, de asemenea, înlocuirea adreselor criptomonedelor transmise prin clipboard, poate crea capturi de ecran și primește comenzi de la serverul de comandă server (C&C)
Sursa: opennet.ro
