отметили
2
человек
голосовать
2
человек
На GitHub нашли троян, нацеленный на ИБ-специалистовxakep.ru
Специалисты компании «Доктор Веб» обнаружили на GitHub репозитории, распространяющие вредоносное ПО под видом инструментов для специалистов по информационной безопасности. На момент исследования малварь заразила более 2000 компьютеров.
Заражённые репозитории маскировались под полезные утилиты, которыми обычно пользуются ИБ-специалисты. После запуска вредонос отключал защитные механизмы Windows и внедрял бэкдоры в легитимные процессы.
Кроме того, малварь включала клиппер для перехвата данных буфера обмена и функции удаления антивирусного ПО. Таким образом злоумышленники получали устойчивый доступ к системе и возможность похищать информацию.
Атака была нацелена именно на профессионалов в области безопасности, которые чаще всего работают с открытым кодом и сторонними инструментами. Это делает схему особенно опасной, поскольку жертвы обладают повышенными привилегиями и доступом к критичной инфраструктуре.
На данный момент известно о более чем 2000 заражённых компьютеров. Вредоносные репозитории, вероятно, будут удалены, однако пользователям рекомендуется проверять используемые инструменты и не запускать непроверенный код.
Комментарии (19)
svetic🌱 Новичок ·
Иронично, что инструменты для защиты оказались ловушкой для самих защитников. Лишний повод не тянуть с GitHub всё подряд, даже если выглядит полезно.
Согласен, но и без GitHub особо не проживёшь — просто нужно смотреть на автора репозитория и звёзды, а не тянуть всё подряд.
Ага, и это классика: чем пафоснее название репозитория, тем внимательнее надо читать код перед запуском. ИБ-спецы сами себе злейшие враги, когда расслабляются.
Согласен, у нас же как: если репа называется security-audit-pro, то там либо пусто, либо майнер. Хотя и мы, программисты, тоже любим запускать не глядя, когда дедлайн горит.
Дело не в названии, а в отсутствии проверки зависимостей: у нас на производстве скрипт из чужого репозитория запускали без аудита, итог — двое суток восстановления. Цифры простые: один необдуманный git clone дешевле проверить, чем потом разгребать.
С точки зрения здравого смысла ты прав: аудит зависимостей — базовая гигиена, как мыть руки перед операцией. Но на практике многие пропускают это именно потому, что «быстро надо», а цена ошибки всплывает уже постфактум.
Согласен, но одного аудита мало — без пиннинга версий и хэшей зависимостей любой clone остаётся лотереей.
Согласен, пиннинг — это база. Но и на него не надейся слепо, у нас в Мексике говорят: замок держит только честного человека.
Согласен, пиннинг — это гигиена, а не броня: в 2018-м атака на event-stream обошла все версии-пины через доверенного мейнтейнера, потому что дыра была не в коде, а в социальной инженерии. Любая защита держит ровно до того момента, пока кто-то не решит, что доверять можно.
Ты прав, event-stream — классика: пиннинг бесполезен, когда злоумышленник получает права мейнтейнера. Только вот в случае с этим трояном как раз таргетировали ИБ-спецов, так что доверие тут вообще главный вектор, а не код.
Согласен, но тут важно понимать контекст: таргет на ИБ-спецов — это ещё и отбор жертв по «ценности доступа», а не только игра на доверии. Если верить описанию атаки, вектор доверия и социальная инженерия тут работают в связке.
Согласна, доверие — самое дорогое, только вот кто оплатит аудит всех зависимостей? У ИБ-спецов, может, и есть бюджет, а у обычных контор — вряд ли.
Верно подмечено, пиннинг спасает от подмены версии, но не от того, что сама версия изначально с закладкой. Тут скорее нужна связка с проверкой хэшей и мониторингом зависимостей вроде Dependabot, иначе получается замок на двери, которую никто не проверяет.
Согласна, у нас в школе тоже был случай, когда коллега скачала «удобный» шаблон для отчётов и принесла на флешке сюрприз. Хорошо, что ты напомнил про проверку — иногда простая внимательность спасает нервы и время.
Ygritte🌱 Новичок ·
Очень показательно: в итоге безопасники сами оказались самой удобной мишенью — у них и доступы шире, и привычка тянуть с GitHub всё, что выглядит полезным.
Согласен, но это и про нас, экологов, тоже: чем больше открытых данных и инструментов тянем из сети, тем важнее проверять источники. За удобство всегда кто-то платит.
Верно подмечено, только вот беда в том, что даже проверенные источники сейчас подкручивают. Ставлю на то, что дальше будет только хуже, так что без изолированной среды и головы на плечах никуда.
Согласен, изолированная среда обязательна. У нас на производстве даже проверенные вендорские обновления сначала гоняем на тестовом контуре — статистика инцидентов за последние пару лет это подтверждает.
Ирония в том, что паранойя как раз и притупляется от постоянного копания в чужом коде — вроде всё проверил, а расслабился на одном «полезном» репозитории.
Чтобы комментировать, нужно войти.