Mer än 100 000 förråd med skadlig kod upptäcktes på GitHub

Säkerhetsforskare från Apiiro har upptäckt aktiviteter från angripare som laddar upp modifierade kloner av olika projekt på GitHub. Dessa kloner görs med små förändringar för att möjliggöra skadlig verksamhet. Vanligtvis skapas det skadliga lagret med samma namn men kopplas till en annan organisation ("github.org/org1/proj" -> "github.org/org2/proj"), eller med ett något avvikande namn (typofix), i förhoppningen att offret inte märker skillnaden och använder koden med de skadliga ändringarna. För att locka användare placeras länkar till de skadliga lagren aktivt i olika sociala medier, forum och chattar.

Mer än 100 000 sådana lagrar har rapporterats hittas, men enligt forskarnas uppskattning kan det totala antalet lagrar med skadliga ändringar uppgå till miljontals, eftersom den stora majoriteten av automatiskt skapade lagrar tas bort av GitHub inom några timmar efter att de har laddats upp. Några av de mönster som kan användas för att identifiera förekomsten av skadliga inslag i laddade lagrar inkluderar: exec(Fernet exec(requests exec(__import exec(bytes exec(“””\nimport exec(compile __import__(“builtins”).exec(

Den bifogade skadliga koden är en modifierad version av BlackCap-Grabber, som vid aktivering söker efter konfidentiella uppgifter såsom kontoinställningar, tokens, sparade lösenord i webbläsare och cookies, och skickar dem till server angriparna. Den skadliga koden stödjer också omdirigering av kryptovalutaadresser som överförs via urklipp, kan ta skärmdumpar och ta emot kommandon från en kontrollserver servern (C&C)

Källa: opennet.ru