มัลแวร์โคลนที่เก็บ GitHub เพื่อโจมตีผู้พัฒนา

พัน GitHub ที่เก็บข้อมูลได้รับการคัดลอกแล้ว และโคลนก็มีมัลแวร์ด้วย เนื่องจากวิศวกรซอฟต์แวร์ชื่อ Stephen Lacy สามารถตรวจสอบได้ เขาคำนวณว่ามีที่เก็บโคลน 35,000 แห่ง

แม้ว่าการโคลนที่เก็บโอเพ่นซอร์สจะเป็นแนวทางการพัฒนาทั่วไป แต่ในกรณีนี้ มันเกี่ยวข้องกับผู้คุกคามที่สร้างสำเนาของโครงการที่ถูกต้องตามกฎหมาย แต่ปนเปื้อนด้วยโค้ดที่เป็นอันตรายเพื่อกำหนดเป้าหมายนักพัฒนาที่ไม่สงสัยด้วยโคลนเหล่านี้

GitHub กล่าวว่าได้ลบพื้นที่เก็บข้อมูลที่เป็นอันตรายส่วนใหญ่ออกไปแล้วหลังจากได้รับรายงานของวิศวกร แม้ว่าจะไม่มีตัวเลขที่เป็นรูปธรรมก็ตาม

นี่คือการค้นพบ

โปรเจ็กต์ที่ได้รับผลกระทบหลายพันโปรเจ็กต์นั้นเป็นการคัดลอกหรือโคลนโปรเจ็กต์ที่ถูกต้องตามกฎหมายซึ่งถูกกล่าวหาว่าสร้างขึ้นโดยผู้แสดงภัยคุกคามเพื่อแนะนำ มัลแวร์ ซึ่งหมายความว่าโครงการอย่างเป็นทางการ เช่น crypto, golang, python, js, bash, docker และ k8s จะไม่ได้รับผลกระทบ แต่นักพัฒนาสามารถเจอสำเนาโดยไม่รู้ว่ามันคืออะไร

วิศวกรที่ส่งสัญญาณเตือนได้ตรวจสอบโครงการโอเพ่นซอร์สที่ Lacy "พบจากการค้นหาของ Google" และเห็นสิ่งต่อไปนี้ URL ในรหัสที่เธอแชร์บน Twitter

ฉันกำลังค้นพบสิ่งที่ดูเหมือนว่าจะเป็นการโจมตีมัลแวร์ที่แพร่หลายในวงกว้าง @github.

– ปัจจุบันมีที่เก็บมากกว่า 35k ติดเชื้อ
– จนถึงปัจจุบันพบในโครงการต่างๆ ได้แก่ crypto, golang, python, js, bash, docker, k8s
– มันถูกเพิ่มในสคริปต์ npm, ภาพนักเทียบท่าและติดตั้ง docs pic.twitter.com/rq3CBDw3r9

— สตีเฟ่นเลซี่ (@stephenlacy) สิงหาคม 3, 2022

นักพัฒนา James Tucker ชี้ให้เห็นว่าพื้นที่เก็บข้อมูลโคลนที่มี URL ที่เป็นอันตรายนั้นมีแบ็คดอร์บรรทัดเดียว ภัยคุกคามเหล่านี้สามารถให้ความลับที่สำคัญแก่ผู้คุกคาม เช่น คีย์ API, โทเค็น, ข้อมูลรับรอง Amazon AWS และคีย์การเข้ารหัส