Onderzoekers ontdekken 3000 nepaccounts op GitHub die malware verspreiden

Onderzoekers van Check Point hebben een netwerk van 3000 kwaadaardige GitHub-accounts ontdekt dat malware verspreidt. De eerste accounts die deel uitmaken van dit 'Stargazers Ghost Network', bestaan vermoedelijk al sinds augustus 2022.

Volgens Check Point-onderzoeker Antonis Terefos slaagde de groep achter het netwerk erin om pagina's op GitHub realistisch te laten lijken. De repository's beweren onder meer code te leveren om vpn's uit te voeren of een licentie te verlenen voor Adobe Photoshop. In werkelijkheid werd er gelinkt naar ransomware en malware, waaronder kwaadwillende software zoals Atlantida Stealer, Rhadamanthys en Lumma Stealer.

Het netwerk wordt door Check Point het Stargazers Ghost Network genoemd, vernoemd naar een van de eerste accounts die de onderzoekers ontdekten. De groep achter het netwerk brengt kosten in rekening aan hackers die gebruikmaken van de diensten, wat ook wel distribution as a service (DaaS) wordt genoemd.

De GitHub-operatie werd ontdekt door Check Point vanwege een advertentie op het dark web. In de periode dat Check Point de advertentiecampagnes van Stargazer Goblin monitorde, van medio mei tot medio juni 2024, zou het netwerk naar schatting zo'n 8000 dollar hebben verdiend. Gedurende de totale levensduur van het netwerk gaat het mogelijk om een bedrag van ongeveer 100.000 dollar.

GitHub heeft inmiddels actie ondernomen tegen de nepaccounts, aldus Wired. Eerder dit jaar brachten onderzoekers van beveiligingsbedrijf Apiiro ook al naar buiten dat het platform overspoeld wordt met malafide repository's. Het platform heeft meer dan 100 miljoen gebruikers met meer dan 400 miljoen repository's, waardoor het een aantrekkelijk doelwit is voor cybercriminelen.

Reacties (29)

[HollowGamer]

Het gevaar is dat mensen GitHub zien als veilig. Je kunt zomaar scripts uitvoeren, clonen is geen probleem, en er kan vrijwel niets mis gaan.

Dat is helaas niet zo. Zelfs bij populaire repos kan door account phishing, opeens een andere commit staan dan je verwacht. Of je haalt iemand binnen zoals bij xz.

Voor platforms lijkt het mij een enorme uitdaging. De bots zijn meestal AI, en ook al is het langzaam verdienen, iedereen is blij met 1k op zijn rekening zonder daarvoor veel moeite te doen. Of je hebt iemand als Linus (die van LTT), die doodleuk vraagt waar de download knop zit.

Geen idee hoe ze die bots moeten gaan herkennen? False positives lijkt me op de loer?

[Reactie gewijzigd door HollowGamer op 29 juli 2024 21:40]

[The Zep Man]

Dat is helaas niet zo. Zelfs bij populaire repos kan door account phishing, opeens een andere commit staan dan je verwacht.

Daarom dat steeds meer repositories overschakelen op verplichte signed commits. Enkel een account hacken is daarmee niet voldoende.

[HollowGamer]

Hoe werkt dat precies? Dat is toch op basis van PGP?

[rbr320]

Inderdaad. Als je het Github account van iemand hebt gekraakt kan je wel commits maken alsof je die persoon bent, maar zolang ze niet met de juiste PGP sleutel ondertekend zijn kan je er vanuit gaan dat ze niet legitiem zijn en ze dus meteen weggooien.

[HollowGamer]

Is dat eenvoudig te doen? Ik heb mij toen een beetje ingelezen erover, maar het was nog niet zo simpel.

[rbr320]

Misschien weet @The Zep Man er meer over, ik heb slechts ervaring met signed commits in een afgesloten omgeving waar account hacking geen issue is.

[gizmocuz]

Je kan ook met SSH signen, hierbij wat documentatie

https://docs.github.com/e...it-signature-verification

https://docs.github.com/e...ification/signing-commits

[The Zep Man]

Is dat eenvoudig te doen? Ik heb mij toen een beetje ingelezen erover, maar het was nog niet zo simpel.

Het betreft een aantal stappen:

1.
Sleutelmateriaal genereren en configureren (eenmalig).

2.
Configureer je lokale repository om de juiste sleutel te gebruiken (eenmalig per lokale repository). Dit is niet strikt nodig, maar aanbevolen wanneer je meerdere PGP sleutels gebruikt.

3.
Commits ondertekenen (TL;DR: voeg -S toe als parameter aan commit-opdrachten).

[Reactie gewijzigd door The Zep Man op 30 juli 2024 10:36]

[nandervv]

Maar je kan dan gewoon een nieuwe SSH-key aanmelden, en daarna gewoon met een nieuwe sleutel correcte commits erin sturen....

[rbr320]

SSH en PGP zijn 2 verschillende dingen. SSH is voor authenticatie, waar PGP gebruikt wordt ter verificatie.

[bassekeNL]

Voor gpg-sleutels geldt ook dat je er makkelijk één kunt toevoegen. Ik weet niet hoe vaak jij je sleutels checkt, maar ik alleen als ik het instel, daarna nooit meer.

[vgroenewold]

Volgens mij kan allebei, althans bij Gitlab wel

[Robin92]

Bij alle grote VCS kun je ook met een SSH key je commits signen. De eis is volgens mij wel dat dat een andere SSH key is dan je gebruikt voor je authenticatie.
Met 1Password is SSH commit signing erg eenvoudig. Evenals authenticatie, maar dat hebben ze al een tijdje.

[B_FORCE]

Hetzelfde probleem bestaat ook al vele jaren bij Linux.

Kennelijk leven veel mensen in de illusie dat iedereen die zulk soort dingen gebruikt een doorgewinterde programmeur is die direct alle ins- en outs van de code snappen?

Het merendeel download van GitHub gewoon de bestanden of copy-paste de code.

Die opmerking van LTT vind ik overigens absoluut geen rare gedachte.
Veel GitHub pagina's zijn niks anders dan een verkapte website, waar echt maar een zeer klein deel zich ook maar bekommerd om de source code

[blorf]

Het is een beetje een dilemma voor MS. Van het algehele Windows-publiek gaan maar weinig mensen broncode downloaden en compilen maar Github wil gewoon zoveel mogelijk gebruikers en activiteit, dus gaan ze de drempel verlagen om er meer mensen heen te trekken. Een heleboel gebruiken het bijna hetzelfde als Sourceforge en Cnet downloads, dus programmaatjes installeren voor bepaalde doeleinden zonder uitgebreid te controleren.
Zelf probeer ik alles uit in een test-vm of op een live-systeem.

[Roberto538]

ja precies, ik was op zoek naar iets en bleek op GitHub te staan .
Althans dat dacht ik .... toen ik het aanklikte , argeloos dat ik was .
Sloeg meteen malwarebytes en kaspersky op hol ... toen was ik wel blij dat ik toch die dingen gebruik.
Normaal ben ik altijd wel voorzichtig in jaren nooit wat gehad , als je normaal gesproken met gezond verstand op het net gaat .
Was meteen weer wakker geschud ..!!

[HollowGamer]

Kan ook een besmette fork zijn, die dankzij upvoting zich voordoet als legit.

[tweazer]

Kaspersky zou ik ook de deur uitdoen ....

[WillySis]

Zodra je aan automatische opsporing gaat doen, dan liggen false positives op de loer. Het is dan aan de ontwikkelaar om de code zo aan te passen dat de onterechte melding wordt voorkomen.

[MrFax]

Ik heb dit wel eens gezien. Een link op Github waarvan je dacht dat dat was wat je nodig had, maar er bleek alleen een README in te zitten met een malafide link. Ik dacht toen "Huh, nu ook al phishing op Github?" Ik ga er dan ook vanuit dat dit wordt bedoeld. Vaak ging dat via een gist.github.com link met een .md bestand (wat wordt gebruikt voor readme en documentatie).

[Reactie gewijzigd door MrFax op 29 juli 2024 20:18]

[Lord Anubis]

Zelf nooit dit tegen gekomen; alhoewel ik als eerste kijk wat ze in algemeen doen of bereikt hebben. Maar ja wat niet is kan nog komen.

[REDSD]

Ik had zelf ook iets raars, een oud stukje Javascript code welke opeens geforked werd met iets van crypto erbij.
Ik heb geen idee, wat het idee er achter is, maar je weet dat er iets niet klopt.

[Robinio010]

Het wordt toch steeds lastiger om dit soort spam te ontwijken. Mede door de (grote) bedrijven die luier worden en alle processen maar automatiseren. Zo kwam ik op Google toen ik op de Arc Browser zocht ook op een obscure website die heel erg op de echte leek, via Google Ads.

[Bor]

Echt spam is dit niet. Het is meer het verleiden van mensen om zelf malware te installeren door dit te bundelen met iets wat mensen graag willen hebbben. Dat gebeurt niet alleen op Github maar veel vaker, bijvoorbeeld door malware te bundelen of te vermommen als een crack voor dure licentiesoftware of als "unpacker" bij een zogenaamde pikante video van een bekend persoon. Dit soort zaken richten zich puur op een van de zwakste schakels in beveiliging; de mens.

[SunnieNL]

Bijna alle 'cracks' voor software bevatten malware. Keygenerators precies hetzelfde. Als je die wilt draaien zou ik het altijd in een VM doen.

Als ik dit zou tegenkomen op github

De repositories beweren onder meer....een licentie te verlenen voor Adobe Photoshop

dan zou ik het sowieso al niet vertrouwen. Die software kost geld, dus dit is al illegaal om een licentie generator te gebruiken. Dit zou sowieso niet op github mogen staan.

[Bor]

Die software kost geld, dus dit is al illegaal om een licentie generator te gebruiken. Dit zou sowieso niet op github mogen staan.

Dat klopt maar toch vind je er met enige regelmaat wel serials etc voor betaalde software. Die staan een tijdje online voor ze verdwijnen. Wanneer er echt software staat (cracks, keygens etc) kan je er bijna vanuit gaan dat er "meer aan de hand is", dwz dat je malware download.

[Robinio010]

Spam = rotzooi, daar vat dit ook onder wat mij betreft. Maar misschien een beetje te lichte benaming voor wat het is. Meeste van dit soort tools proberen admin rechten te verkrijgen om al je wachtwoorden te versturen. Vaak door een gelijkend icoontje etcetera.
Bij de Google Ads ging het om de Atomic Stealer: https://www.malwarebytes....istributed-via-google-ads

[Reactie gewijzigd door Robinio010 op 30 juli 2024 08:49]

[Bor]

Spam zijn ongevraagde berichten met als doel je over te halen iets te doen (kopen etc) en is op zich geen malware en dat is waar het hier om gaat. Infostealers vereisen echt niet altijd admin rechten. Dat hangt ook nog eens van het OS af vaak. Degene die dat wel doen worden dan weer vaak gebundeld met zaken als cracks etc waarbij mensen het vaak toch al niet zo nauw nemen wat betreft de permissies die ze uitdelen.

[Reactie gewijzigd door Bor op 30 juli 2024 09:26]