Źródło: unsplash.com/photos/mT7lXZPjk7U
Na GitHubie ponownie pojawiła się szeroko zakrojona kampania FakeGit, która wykorzystuje fałszywe repozytoria do dystrybucji złośliwego oprogramowania. Według analizy firmy Apiiro kampania wznowiła aktywność 4 października i obejmuje już 17 610 repozytoriów. Głównym ładunkiem jest SmartLoader, program używany następnie do dostarczania kolejnych zagrożeń. Wcześniejsze działania tej samej operacji wiązano także z dystrybucją stealera StealC.
Repozytoria są przygotowywane tak, aby wyglądały jak źródła przydatnych narzędzi lub projektów. Ich pliki README zawierają instrukcje oraz przycisk pobierania prowadzący do archiwum ZIP. Po uruchomieniu pobranego pliku na urządzeniu instalowany jest SmartLoader, który może dostarczać inne złośliwe programy. Operator korzysta głównie z kont tworzonych na krótko, ale badacze zidentyfikowali co najmniej 700 kont wyglądających na należące do legalnych deweloperów. Sama obecność wiarygodnej nazwy właściciela lub atrakcyjnego opisu nie potwierdza więc bezpieczeństwa repozytorium.
Podobną aktywność z różnymi ładunkami obserwowano co najmniej od stycznia, natomiast określenie FakeGit przypisano tej operacji w lipcu. Wtedy badacze z firmy Island opisali 7 600 fałszywych repozytoriów rozpowszechniających SmartLoadera. Około 800 z nich udawało umiejętności AI lub
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Zdaniem badaczy to jeden z powodów, dla których kampania jest trudna do usunięcia. Listy blokad obejmują tylko część złośliwych repozytoriów, a zablokowane ładunki i ich kopie zapasowe mogą pozostać dostępne. Operator może wtedy zmienić sam adres pobierania, pozostawiając repozytorium oraz jego opis bez większych zmian. Apiiro wskazało, że 71 procent analizowanej floty nie było wcześniej widoczne w serwisie URLhaus. Dodatkowym problemem jest blokowanie na poziomie domeny, ponieważ zatrzymanie pojedynczego pliku na GitHubie nie jest równoznaczne z zablokowaniem całej platformy.
Badacze znaleźli złośliwe archiwa nie tylko w głównych repozytoriach, lecz także w ich forkach, starszych plikach, zasobach wydań, załącznikach do zgłoszeń oraz osobnych repozytoriach służących do hostowania pobrań. Oznacza to, że usunięcie jednego pliku lub jednego odnośnika nie musi zakończyć kampanii. Ta sama instrukcja może zostać połączona z inną kopią archiwum, a użytkownik nadal może uznać całość za wiarygodne źródło ze względu na nazwę projektu, wygląd README albo historię konta.
Brak komentarzy. Bądź pierwszy!