Araştırmacılar, tehdit aktörlerinin kötü amaçlı yazılımları ve kötü amaçlı komut dosyalarını barındırmak ve dağıtmak için GitHub kod alanları 'bağlantı noktası' özelliğini nasıl kötüye kullanabileceğini gösterdiler.
GitHub kod alanları, geliştiricilerin doğrudan bir web tarayıcısına doğrudan bir web tarayıcısı içinde yazma, düzenleme/çalıştırma/çalıştırma/çalıştırma (düzenleme (düzenleme (düzenleme) için bulutta barındırılan IDE platformlarını dağıtmasına olanak tanır.
Kasım 2022'de yaygın olarak kullanılabilir hale geldiğinden, GitHub kodepaları, projeleri için gerekli tüm gerekli araç ve bağımlılıklarla donatılmış önceden yapılandırılmış, konteyner tabanlı ortamı için tercih eden geliştiriciler arasında popüler bir seçim haline gelmiştir.
Trend Micro tarafından yapılan yeni bir raporda, araştırmacılar GitHub kodlama alanlarının, trafik Microsoft'tan geldikçe tespit edilmesinden kaçınırken, kötü niyetli içerik dağıtmak için bir web sunucusu olarak nasıl kolayca yapılandırılabileceğini gösterir.
GitHub kod alanları, geliştiricilerin TCP bağlantı noktalarını kamuya iletmesine olanak tanır, böylece harici kullanıcılar uygulamaları test edebilir veya görüntüleyebilir.
Bir Codespace VM'deki bağlantı noktalarını iletirken, GitHub özelliği, o bağlantı noktasında çalışan uygulamaya erişmek için özel veya genel olarak yapılandırılabilen bir URL oluşturur.
Özel bir bağlantı noktası ileri, URL'ye erişmek için bir jeton veya çerez şeklinde kimlik doğrulama gerektirir. Ancak, bir genel bağlantı noktasına, kimlik doğrulama gerektirmeden URL'yi bilen herkes için erişilebilir.
Bu GitHub özelliği, geliştiricilere kod gösterilerinde esneklik sağlıyor, ancak Trend Micro, bugün saldırganların platformda kötü amaçlı yazılımı barındırmak için kolayca kötüye kullanabileceğini söylüyor.
Teorik olarak, bir saldırgan basit bir Python web sunucusu çalıştırabilir, kodlama alanlarına kötü amaçlı komut dosyaları veya kötü amaçlı yazılımlar yükleyebilir, VM'lerinde bir web sunucusu bağlantı noktası açabilir ve "genel" görünürlük atayabilir.
Oluşturulan URL daha sonra kimlik avı kampanyaları için veya diğer kötü amaçlı yazılımlar tarafından indirilen kötü amaçlı yürütülebilir dosyaları barındırmak için barındırılan dosyalara erişmek için kullanılabilir.
Tehdit aktörleri, kötü amaçlı yazılım dağıtım kampanyaları için Google Cloud, Amazon AWS ve Microsoft Azure gibi diğer güvenilir hizmetleri tam olarak bu şekilde kötüye kullanıyor.
Trend Micro Raporu, "Tehdit modelleme kötüye kullanım senaryosu hipotezimizi doğrulamak için, 8080 bağlantı noktasında Python tabanlı bir HTTP sunucusu çalıştırdık, iletilen ve limanı kamuya açıkladık."
"Bu süreçte, URL'yi ve kimlik doğrulama için çerezlerin olmadığını kolayca bulduk."
Analistler, HTTP'nin varsayılan olarak port-forwarding sisteminde varsayılan olarak kullanılırken, geliştiricilerin HTTPS olarak ayarlayabileceğini ve URL için güvenlik yanılsamasını artırabileceğini söylüyor.
GitHub güvenilir bir alan olduğundan, antivirüs araçlarının alarmları yükseltmesi daha az olasıdır, böylece tehdit aktörleri tespitten az bir maliyetle kaçabilir.
Trend mikro analistleri ayrıca, kötü amaçlı yazılım dağıtım operasyonlarını daha verimli hale getirmek için GitHub kod alanlarındaki geliştiricileri kötüye kullanmayı araştırıyor.
GitHub kod alanlarındaki bir "dev kap", belirli bir proje için gerekli tüm bağımlılıkları ve araçları içeren önceden yapılandırılmış bir kaptır. Geliştiriciler bunu hızlı dağıtım için kullanabilir, başkalarıyla paylaşabilir veya VCS üzerinden bağlanabilir.
Bir saldırgan, bir bağlantı noktasını yönlendirmek, bir Python HTTP sunucusunu çalıştırmak için bir komut dosyası kullanabilir ve kodlama alanlarına kötü amaçlı dosyalar indirebilir.
Daha sonra, bağlantı noktasının görünürlüğü, hedeflere kötü amaçlı dosyalar sunan açık bir dizine sahip bir web sunucusu oluşturan genel olarak ayarlanır.
Trend Micro, web sunucusu silinmeden önce URL'ye erişildikten sonra 100 saniyelik bir gecikme kullanarak bunun için bir kavram kanıtı (POC) oluşturdu.
BleepingComputer, kod alanları kullanarak "kötü niyetli" bir web sunucusunun oluşturulmasını, özellik ile sıfır deneyimle tekrarlayabildi.
"Bu tür komut dosyalarını kullanarak, saldırganlar Github kod alanlarını, kodlama alanlarında kamuya açık olarak portları açıklayarak hızlı bir oranda kötü bir oranda sunmak için kolayca kötüye kullanabilir. rapor.
"Bu, saldırgana farklı açık dizin örnekleri oluşturmak için yeterli zemin kazandırıyor."
GitHub'ın politikası, aktif olmayan kod alımlarının 30 gün sonra otomatik olarak silinmesidir, böylece saldırganlar aynı URL'yi bir ay boyunca kullanabilirler.
Şu anda Github kod alanlarının bilinmeyen bir kötüye kullanımı olmasa da, rapor gerçekçi bir olasılığı vurgulamaktadır, çünkü tehdit aktörleri genellikle güvenlik ürünleri tarafından da güvenilen "kullanımda ücretsiz" platformları hedeflemeyi tercih etmektedir.
BleepingComputer, Trend Micro'nun raporu hakkında yorum yapmak için GitHub ile temasa geçti, ancak hala bir yanıt bekliyoruz.
Bilgisayar korsanları, yasal yazılımlarda kötü amaçlı yazılım yaymak için Google reklamlarını kötüye kullanın
Kötü amaçlı "lolip0p" pypi paketleri Info-Renting kötü amaçlı yazılımları yükleyin
Amazon'daki Android TV kutusu, kötü amaçlı yazılımla önceden yüklendi
VSCODE Marketplace, kötü niyetli uzantılara ev sahipliği yapmak için istismar edilebilir
Sıçan kötü amaçlı yazılım kampanyası, poliglot dosyalarını kullanarak algılamadan kaçmaya çalışır
Kaynak: Bleeping Computer