Хакери разпространяват зловреден софтуер чрез GitHub

Популярното хранилище за ИТ проекти GitHub се използва умело от хакери за разпространение на злонамерен софтуер. Имитират URL връзки към доверени разработчици като Microsoft.

Хакери са намерили начин да качат злонамерен софтуер в популярната платформа за разработчици GitHub и дори са го направили да изглежда така, сякаш се хоства и разпространява от други доверени разработчици, алармира компанията за информационна сигурност McAfee.

По-голямата част от зловредния софтуер използва URL адреси на Microsoft GitHub, като освен това този „пропуск” в сигурността може да се използва във всяко публично хранилище на GitHub, твърди разследването на McAfee.

още по темата ЕС одобри покупката на Github от Microsoft GitHub пази кодове в Арктика в случай на апокалипсис GitHub Copilot предупреждава за неоригинален код Докладът описва нов инструмент за изтегляне на зловреден софтуер, наречен LUA и разпространяван чрез това, което изглежда е хранилището на Microsoft в GitHub. URL адресите на инсталаторите на зловреден софтуер показват, че те принадлежат към хранилището на Microsoft, което обаче не е вярно.

Оказва се, че хакерите са намерили начин да фалшифицират URL връзка не само с хранилището на Microsoft, но и с всеки друг разработчик или компания с добра репутация.

Прочетете още: ЛЮБИМ НА ХАКЕРИТЕ ЕЗИК Е ОПАСНО УЯЗВИМ >>>>

Нападателите са използвали необичайна схема – механизма за качване на файлове в коментарите на GitHub. Компаниите-жертви обаче могат да направят малко, за да се защитят от това посегателство. Единственото решение засега е да деактивират напълно коментарите, но това носи повече проблеми, отколкото решава.

Потребители, които не използват зловреден софтуер, често влизат в секцията за коментари, за да докладват грешки или да направят предложения за проектите. Освен това коментарите могат да бъдат деактивирани за максимум шест месеца наведнъж.

GitHub е най-голямата уеб услуга за хостване на ИТ проекти и тяхното съвместно развитие, която влезе под крилото на Microsoft през 2018 г.