Bir GitHub kusuru veya muhtemelen bir tasarım kararı, tehdit aktörleri tarafından Microsoft depoları ile ilişkili URL'leri kullanarak kötü amaçlı yazılım dağıtmak için kötüye kullanılmakta ve dosyaların güvenilir görünmesini sağlamaktadır.
Kötü amaçlı yazılım etkinliğinin çoğu Microsoft Github URL'lerine dayanmış olsa da, bu "kusur" GitHub'daki herhangi bir kamu deposu ile istismar edilebilir ve tehdit aktörlerinin çok ikna edici yemler yaratmasına izin verir.
Dün, McAfee, VCPKG olarak bilinen "Windows, Linux ve MacOS için C ++ Kütüphane Yöneticisi" ve STL Kütüphanesi için meşru bir Microsoft GitHub depoları gibi görünen yeni bir LUA kötü amaçlı yazılım yükleyici hakkında bir rapor yayınladı.
Aşağıda gösterilen kötü amaçlı yazılım yükleyicileri için URL'ler, Microsoft Repo'ya ait olduklarını açıkça göstermektedir, ancak projenin kaynak kodundaki dosyalara herhangi bir referans bulamadık.
Bir Microsoft Repo'nun Şubat ayından bu yana kötü amaçlı yazılım dağıtacağını garip bir şekilde bulan BleepingComputer, içine baktı ve dosyaların VCPKG'nin bir parçası olmadığını, ancak projedeki bir taahhüt veya sorunda kalan bir yorumun bir parçası olarak yüklendiğini buldu.
Bir yorum bırakırken, bir GitHub kullanıcısı GitHub'ın CDN'sine yüklenecek ve ilgili proje ile ilişkilendirilecek bir dosya (arşivler, belgeler vb.) Ekleyebilir: 'https: //www.github. com/{Project_user}/{repo_name}/files/{file_id}/{file_name}. '
Videolar ve resimler için dosyalar bunun yerine / varlıklar / yol altında saklanır.
Bir yorum yayınlandıktan sonra URL'yi oluşturmak yerine GitHub, aşağıda gösterildiği gibi dosyayı kaydedilmemiş bir yoruma ekledikten sonra indirme bağlantısını otomatik olarak oluşturur. Bu, tehdit aktörlerinin kötü amaçlı yazılımlarını bilmeden herhangi bir depoya eklemelerini sağlar.
Yorumu göndermemeye veya yayınlandıktan sonra silmemeye karar verseniz bile, dosyalar GitHub'ın CDN'sinden silinmez ve indirme URL'leri sonsuza dek çalışmaya devam eder.
Dosyanın URL'si, yorumun oluşturulduğu deponun adını içerdiğinden ve hemen hemen her yazılım şirketinin GitHub'ı kullandığı için, bu kusur tehdit aktörlerinin olağanüstü kurnaz ve güvenilir cazibeler geliştirmesine izin verebilir.
Örneğin, bir tehdit oyuncusu, NVIDIA'nın sürücü yükleyici repo'suna, popüler bir oyunda yeni bir sürücü düzeltme sorunları gibi davranan bir kötü amaçlı yazılım yükleyebilir. Veya bir tehdit oyuncusu, Google Chromium kaynak koduna bir yorumda bir dosya yükleyebilir ve web tarayıcısının yeni bir test sürümü gibi davranabilir.
Bu URL'ler ayrıca şirketin depolarına ait gibi görünecek şekilde onları çok daha güvenilir hale getiriyor.
Ne yazık ki, bir şirket depolarının kötü amaçlı yazılım dağıtmak için istismar edildiğini öğrense bile, BleepingComputer projelerinize bağlı dosyaları yönetmenize izin veren herhangi bir ayar bulamadı.
Ayrıca, bir GitHub hesabının yalnızca bu şekilde istismar edilmesinden ve yorumları devre dışı bırakarak itibarınızı karartarak koruyabilirsiniz. Bu GitHub destek belgesine göre, yorumları bir seferde en fazla altı ay boyunca geçici olarak devre dışı bırakabilirsiniz.
Bununla birlikte, yorumların kısıtlanması, kullanıcıların hataları veya önerileri bildirmesine izin vermeyeceği için bir projenin gelişimini önemli ölçüde etkileyebilir.
Otomatik Kötü Yazılım Analiz Hizmeti Uncme'den Sergei Frankoff, Twitch'te geçen ay bu hata hakkında bir canlı akış yaptı ve tehdit aktörlerinin aktif olarak kötüye kullandığını söyledi.
Haftalar sonra ... Github Hata hala kötü amaçlı yazılım pic.twitter.com/s165zoasoi düşürüyor
Bu hataya ilişkin araştırmamızın bir parçası olarak, BleepingComputer, kötü amaçlı yazılımları bu şekilde dağıtmak için istismar edilen başka bir repo olan HTTPRouter bulabilir ve Microsoft'un URL'lerinde görüldüğü gibi aynı 'Cheater.pro.1.6.0.zip' idi.
Ancak Frankoff, BleepingComputer'a, Mart ayında Aimmy hile yazılımı olarak gizlenen SmartLoader olarak adlandırılan aynı Lua Loader kötü amaçlı yazılımını kullanan benzer bir kampanya keşfettiklerini söyledi.
Frankoff, BleepingComputer'a SmartLoader'ın genellikle Redline bilgi çalma kötü amaçlı yazılımları gibi diğer yüklerin yanına yüklendiğini söyledi.
BleepingComputer, bu istismar hakkında Perşembe günü GitHub ve Microsoft ile temasa geçti, ancak yanıt almadı.
Bu yayın sırasında, bilgi çalan kötü amaçlı yazılımlar hala Microsoft 'GitHub depo ile ilişkili bağlantılar aracılığıyla dağıtılmaktadır.
GÜNCELLEME 4/21/24: GitHub, Microsoft'un depolarına bağlı kötü amaçlı yazılımları kaldırdı. Bununla birlikte, HTTPRouter ve AIMMY ile ilişkili kötü amaçlı yazılımlara hala erişilebilir.
Gitlab, Github tarzı CDN Kusurundan etkilenen kötü amaçlı yazılım barındırma sağlar
Sahte hile, oyuncuları infostealer kötü amaçlı yazılımları yaymaya yemin eder
Microsoft, kötü amaçlı yazılım saldırılarında sömürülen iki Windows sıfır gününü düzeltir
GitHub Push KeyZetsu Kötü Yazılımında Kötü niyetli Visual Studio Projeleri
Kötü amaçlı yazılım geliştiricileri, çocuk istismarcılarını onları zorlamak için honeytrap'a çeker
Kaynak: Bleeping Computer