Github als Malware-Schleuder: Trojaner über 10.000 Github-Repos verbreitet
Dass Github nicht sonderlich aktiv gegen auf seiner Plattform gehostete Schadsoftware vorgeht, ist schon seit Längerem bekannt. Ein Entwickler, der sich selbst Orchid nennt, warnt nun vor einer laufenden Malware-Kampagne und gewährt damit Einblicke in das Ausmaß dieser Bedrohung. Mit einem Skript fand er fast 10.000 Github-Repositorys, deren Aufgabe darin bestand, unvorsichtigen Entwicklern einen Trojaner unterzuschieben.
Wie Orchid in einem Blogbeitrag(öffnet im neuen Fenster) schildert, war er selbst von der Kampagne betroffen. Nicht aber in Form einer Malware-Infektion – vielmehr hatte ein Angreifer Softwareprojekte von Orchid missbraucht, um Malware zu verbreiten. Die Projekte wurden jeweils kopiert, unter einem fremden Github-Konto neu veröffentlicht und um einen Trojaner ergänzt.
Die Vorgehensweise der Angreifer ist dabei wohl immer gleich. Sie übernehmen nicht nur den Code, sondern, vermutlich um einen vertrauten Eindruck zu hinterlassen, auch die gesamte Commit-Historie. Danach ergänzen sie in der Readme mit einem Commit einen Link zu einer Zip-Datei, die den Trojaner enthält. Dieser Commit wird laut Orchid oft mehrmals täglich gelöscht und in exakt gleicher Form erneut gepusht.
Skript findet 10.000 betroffene Repos
Nachdem Orchid seine Entdeckung an Github gemeldet hatte, dauerte es wohl mehrere Wochen, bis das Unternehmen endlich reagierte und die mit Malware verseuchten Repos vom Netz nahm. Später entschied sich der Entwickler, das Ausmaß des Problems genauer zu untersuchen. Auf Basis der ihm bekannten Informationen schrieb er ein Skript(öffnet im neuen Fenster), mit dem er auch andere betroffene Projekte aufspüren konnte.
Damit fand der Entwickler fast 10.000 Repositorys(öffnet im neuen Fenster), die einen Link zu einem Zip-Archiv mit einem Trojaner enthielten. Teilweise waren diese schon seit Monaten online, vereinzelt sogar länger als ein Jahr. Betroffen waren vor allem neuere und daher oft noch unbekannte Softwareprojekte. Orchid geht davon aus, dass die Angreifer damit versuchen, in den Ergebnissen gängiger Suchmaschinen vor dem jeweiligen Original zu landen.
Warum der Commit mit dem Link zur Malware wiederholt gelöscht und neu ausgespielt wird, ist unklar. Orchid nimmt an, dass die Angreifer damit möglicherweise versuchen, Sicherheitsmechanismen von Github zu umgehen.
Github reagiert nur auf Meldungen
Wenig erfreut ist Orchid über Githubs Umgang mit der Malware-Kampagne. Der Entwickler nimmt an, dass sein Skript nur einen kleinen Teil aller betroffenen Repos erfasst, da es durch Ratenbegrenzungen der Github-API eingeschränkt ist und daher nicht beliebig viele Code-Repositorys überprüfen kann. Github selbst unterliege solchen Beschränkungen jedoch nicht, so Orchid.
Github könne "alle 500 Millionen Repositorys analysieren, darin enthaltene Archive oder ausführbare Dateien finden und diese auf Viren überprüfen". Das mache das Unternehmen aber nicht. Es habe zwar die von Orchid gemeldeten Repos gelöscht, suche aber selbst nicht automatisch nach neuen Repositorys, um die Kampagne einzudämmen.
"Sie haben mein Skript nicht ausgeführt und auch kein eigenes Skript geschrieben. Sie haben nicht einmal diesen Artikel geöffnet, um zu prüfen, ob sich die Liste der Repositorys geändert hat. Sie löschen nur Repositorys, die ihnen gemeldet werden, unternehmen aber sonst nichts", warnt Orchid. Und das, obwohl Angriffe in der beschriebenen Form schon mindestens seit Anfang 2025(öffnet im neuen Fenster) ablaufen.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.