Alertă de Securitate pe GitHub: Repozitorii False Distribuie Malware pentru Portofelele de Criptomonede

 

GitHub, una dintre cele mai mari platforme de dezvoltare colaborativă de software, se confruntă cu o nouă amenințare de securitate. Cercetătorii de la firma de cibersecuritate SlowMist au descoperit un atac sofisticat care folosește repositorii false pentru a distribui malware, având ca țintă utilizatorii de portofele de criptomonede.

Detalii despre Atac

Atacul a fost descoperit atunci când un utilizator a raportat pierderea de fonduri din portofelul său după ce a descărcat și a executat ceea ce credea a fi un bot legitim de tranzacționare pentru Solana. Repozitoriul în cauză, găzduit sub contul zldp2002 și numit solana-pumpfun-bot, a reușit să atragă atenția comunității prin înregistrarea rapidă a unui număr mare de stele și bifurcații (forks). Această activitate, în loc să fie un indicator de fiabilitate, masca adevărata natură malicioasă a proiectului.

Mecanismul de Atac

Cheia atacului constă în utilizarea unei dependențe numite crypto-layout-utils, care a fost deja eliminată din registrul oficial NPM. Pentru a menține accesul, atacatorii au modificat fișierul package-lock.json în repositoriu, redirecționând descărcarea acestui pachet către o adresă URL controlată manual pe GitHub. După analizarea codului, experții au confirmat că acesta includea rutine pentru a scana fișierele locale în căutarea cheilor private și a portofelelor, trimițând informațiile către un server extern controlat de infractori.

Rețeaua de Conturi False

O rețea orchestrată de conturi false a fost utilizată pentru a clona și a forța multiple variante ale acestor proiecte, crescând artificial metricile și extinzând astfel potențialul de distribuție al malware-ului. În unele bifurcații, a fost detectată prezența unei alte dependențe suspecte: bs58-encrypt-utils-1.0.3, utilizată în mod similar pentru a menține operațional schema chiar și după eliminarea pachetului principal din NPM.

Fonduri Deviate și Sofisticarea Atacului

Investigația on-chain realizată de SlowMist a permis urmărirea unei părți din fondurile furate, care au fost transferate pe platforma FixedFloat. Acest detaliu evidențiază gradul ridicat de pregătire din spatele atacului, combinând tehnici de manipulare a dependențelor în medii open-source cu mecanisme de spălare și ascundere a banilor sustrași.

Recomandări pentru Comunitate

Experții avertizează că acest tip de incidente reprezintă o tendință în creștere în sofisticarea atacurilor îndreptate împotriva lanțului de aprovizionare a software-ului. Pe lângă atacarea pachetelor în manageri precum NPM, infractorii cibernetici exploatează prestigiul și popularitatea platformelor precum GitHub pentru a distribui malware sub o aparență legitimă, ceea ce multiplică riscul pentru dezvoltatori și utilizatorii care au încredere în aceste proiecte.

Recomandările pentru comunitate includ extremarea precauțiilor și evitarea executării unor instrumente open-source neverificate, în special dacă gestionează active digitale sau chei private. Este crucial să se verifice proveniența repositoriilor, să se analizeze dependențele acestora și, ori de câte ori este posibil, să se izoleze mediile de testare pentru a evita daune mai mari.

Acest incident subliniază încă o dată vulnerabilitatea din dezvoltarea colaborativă de cod, consolidând importanța de a rămâne alertă și de a apela întotdeauna la verificare și transparență înainte de a incorpora orice instrument în fluxul de lucru. Creșterea sofisticării acestor atacuri plasează GitHub în centrul atenției pentru viitoarele campanii. Prin urmare, comunitatea de dezvoltatori trebuie să își întărească cultura de securitate și să contribuie la detectarea rapidă a amenințărilor, împărtășind informații și bune practici.