Raziskovalci varnosti podjetja Apiiro so odkrili dejavnost zlonamernih oseb, ki na GitHubu objavljajo spremenjene klone repozitorijev različnih projektov, v katere so vnesene majhne spremembe, usmerjene v izvajanje škodljivih dejanj. Običajno zlonamerni repozitorij nastane pod enakim imenom, a povezan z drugo organizacijo ("github.org/org1/proj" -> "github.org/org2/proj"), ali pod nekoliko drugačnim imenom od izvirnika (type-squatting), z namenom, da žrtev ne opazi razlik in uporabi kodo z zlonamernimi spremembami. Za privabljanje uporabnikov so povezave do zlonamernih repozitorijev aktivno objavljene v različnih družbenih omrežjih, forumih in klepetih.
Poročajo o odkritju več kot 100 tisoč podobnih repozitorijev, vendar po mnenju raziskovalcev se skupno število objavljenih repozitorijev z zlonamernimi spremembami lahko meri v milijonih, saj prevladujoči del avtomatsko ustvarjenih repozitorijev odstrani GitHub v nekaj urah po njihovi objavi. Med maskami, ki jih je možno uporabiti za določitev prisotnosti zlonamernih vstavkov v naloženih repozitorijih, se omenjajo: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(
Priključeni zlonamerni koda predstavlja spremenjeno različico BlackCap-Grabber, ki po zagonu išče zaupne podatke, kot so podatki o računih, žetoni, shranjena gesla v brskalniku in piškotki, ter jih pošilja napadalcem. strežnik Zlonamerni koda tudi podpira zamenjavo naslovov kriptovalut, ki se prenašajo prek odložišča, lahko ustvarja posnetke zaslona in prejema ukaze od nadzornega centra (C&C). strežnika (C&C)
Izvor: opennet.ru
