Уязвимость GitHub позволяла угнать чужой репозиторий в обход защиты

Уязвимость GitHub позволяла угнать чужой репозиторий в обход защиты

Уязвимость GitHub позволяла угнать чужой репозиторий в обход защиты

Команда Checkmarx обнаружила брешь в защите облачного хостинга GitHub от клонирования репозиториев в рамках атак на цепочку поставок. Как оказалось, создать такой источник вредоносного кода все еще можно, притом легко — путем переименования.

Хранилища на GitHub получают уникальные URL, которые привязываются к аккаунту владельца. Когда пользователь меняет имя аккаунта, на веб-сервисе создаются редиректоры. В Checkmarx придумали, как угнать перенаправленный трафик, сломав логику редиректа, и назвали свой способ RepoJacking.

В итоге на GitHub появился дополнительный механизм защиты, отвечающий за удаление популярных, но устаревших пространств имен (связок имя пользователя / имя репозитория) — чтобы ими не воспользовались злоумышленники. Эта контрмера пускается в ход, когда недельная норма клонов opensource-проекта перевалит за сотню.

Как выяснилось, такую защиту от абьюзов можно обойти с помощью процедуры смены владельца репозитория. Захват чужих имен при этом выглядит следующим образом:

  • злоумышленник создает репозиторий с именем (условно repo), выведенным из обихода, но под другим аккаунтом, разрывая связку (например, вместо прежнего юзернейма victim использует helper);
  • helper_account передает репозиторий repo новому владельцу (attacker) в соответствии с принятым регламентом;
  • тот переименовывает свой аккаунт в victim;
  • новоявленный victim_account принимает запрос на передачу права собственности.

В итоге пространство имен victim/repo попадает под контроль авторов атаки — из-за того, что специализированная защита GitHub считает устаревшей только комбинацию юзернейм / имя репозитория. По словам Checkmarx, подобным образом можно угнать любой популярный софт, если его владелец менял имя пользователя.

Просмотр каталогов Go, Swift и Packagist выявил более 10 тыс. пакетов, находящихся в зоне риска. Оператор GitHub устранил опасную уязвимость в прошлом месяце — 19 сентября.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники начали использовать информацию из Росреестра для атак

Мошенники начали активно использовать данные Росреестра о недвижимости для проведения атак социальной инженерии. Цель таких схем может быть разной: вынудить жертву перевести деньги на подконтрольный счет, установить вредоносное приложение или назвать код аутентификации для сервиса.

О новых приёмах злоумышленников РИА Новости рассказал генеральный директор SafeTech Денис Калемберг.

Аферисты строят общение на знании конкретного объекта недвижимости, принадлежащего собеседнику. По словам эксперта, именно эта информация становится для мошенников «ключом» к доверию со стороны жертвы.

По сути, схема является развитием старой легенды о замене счетчиков, о которой Центр правопорядка Москвы и Московской области предупреждал ещё год назад.

Однако в этом году сценарий заметно усложнился. На первом этапе жертва получает код подтверждения не от Госуслуг, а от стороннего сервиса — например, каршеринга, службы доставки или маркетплейса. Как отметил Денис Калемберг, задача злоумышленников — убедить человека, что это именно код от Госуслуг, вызвать замешательство и панику.

Следом приходит сообщение якобы от Госуслуг с контактным номером. По нему отвечает «специалист Роскомнадзора по борьбе с мошенничеством», утверждающий, что злоумышленники подменили текст и номер в смс техническими средствами.

Если жертва начинает задавать уточняющие или неудобные вопросы, мошенник уходит от прямых ответов, ссылаясь на плохую связь.

Финальные цели атак могут различаться. Злоумышленники требуют перевести деньги на «безопасный счёт», сообщить код из смс для подтверждения операции или установить вредоносное приложение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru