Тысячи GitHub-репозиториев распространяют трояны вместо PoC-эксплойтов

Тысячи GitHub-репозиториев распространяют трояны вместо PoC-эксплойтов

Тысячи GitHub-репозиториев распространяют трояны вместо PoC-эксплойтов

Исследователи из Лейденского университета обнаружили тысячи репозиториев на площадке GitHub, предлагающих фейковые демонстрационные эксплойты (proof-of-concept, PoC) для различных уязвимостей. Воспользовавшись такими предложениями, пользователи рискуют заразить свои устройства вредоносными программами.

Поскольку GitHub является крупнейшей площадкой для хостинга кода, нет ничего удивительно в том, что там периодически публикуют PoC-эксплойты для тех или иных уязвимостей. Это помогает компаниям тестировать патчи и оценивать опасность багов.

По данным специалистов Лейденского университета, на GitHub шанс заразиться вредоносом под маской PoC равен 10,3%. В период с 2017 по 2021 год исследователи изучили более 47 300 репозиториев, предлагающих демонстрационные эксплойты. Использовались следующие критерии:

  • Анализ IP-адреса. Адрес опубликовавшего PoC пользователя сравнивался с публичными чёрными списками VT и AbuseIPDB.
  • Анализ бинарника. Запускалась проверка выложенных исполняемых файлов на VirusTotal и изучались их хеши.
  • Шестнадцатеричный и Base64 анализ. Обфусцированные файлы декодировались перед проверкой бинарников и IP.

 

Из 150 734 уникальных IP-адресов 2864 соответствовали тем, что указаны в списках блокировки. 1522 были распознаны на VirusTotal как вредоносные, ещё 1069 присутствовали в базе AbuseIPDB.

 

Среди бинарников эксперты нашли 2164 вредоносов, хранящихся в 1298 репозиториях. В общей сумме злонамеренных репозиториев выявилось 4893.

 

Один из интересных примеров — фейковый PoC для CVE-2019-0708 (BlueKeep). В нём содержался обфусцированный Python-скрипт, который фетчил VBScript из Pastebin. Всё это приводило к загрузке на компьютер жертвы трояна Houdini.

Напомним, что в этом месяце на GitHub выявили продажу фейковых эксплойтов для 0-day в Microsoft Exchange.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники создают клоны карт через мобильные приложения, предупреждает ЦБ

Злоумышленники начали использовать виртуальные образы банковских карт для снятия наличных в банкоматах без необходимости предъявлять физическую карту. О мошеннической схеме предупредил Банк России.

Как сообщили представители регулятора «Интерфаксу», схема атаки выглядит следующим образом: мошенники звонят потенциальной жертве и сообщают, что с ее счета якобы пытаются украсть деньги.

Чтобы предотвратить «кражу», они убеждают установить на смартфон мобильное приложение, выдавая его за программу от Банка России или другой финансовой организации. Во время установки злоумышленники требуют не пользоваться устройством.

Далее мошенники заставляют жертву запустить приложение, приложить карту к телефону и ввести код подтверждения от банка. В этот момент создается цифровой клон карты, который затем загружается на устройство злоумышленников. Используя этот образ, они снимают деньги в банкоматах или совершают покупки.

Банк России напоминает, что не следует устанавливать неизвестные приложения, выполнять действия в банковских сервисах по требованию посторонних и передавать кому-либо свои личные или финансовые данные, независимо от предлога.

Эта схема мошенничества была выявлена еще в 2023 году при атаках на клиентов чешских банков. В ноябре 2024 года, по данным ВТБ и аналитиков «Доктор Веб», она дошла до России.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru