Open Source: Gut getarnte Malware-Kampagne in Tausenden Github Repos

Ein Sicherheitsforscher hat eine groß angelegte Malware-Kampagne entdeckt, die versucht, sich durch einfache Pull Requests einzuschmuggeln.

Artikel veröffentlicht am 3. August 2022, 13:25 Uhr, Sebastian Grüner

Die Malware auf Github zielt auf das Ausleiten von Schlüsseln und Zugängen. (Bild: Github)

Der Sicherheitsforscher und Entwickler Stephen Lacy hat offenbar einen groß angelegte Malware-Kampagne entdeckt, die bei dem Code-Hoster ein riesiges Ausmaß annimmt, wie Lacy auf Twitter berichtet. Der von Lacy entdeckte Code der Malware finde sich dabei rund 35.000 Mal auf Github und ziele darauf, Daten von Entwicklern auszuleiten, um anschließend damit weitergehende Angriffe durchzuführen.

Der von Lacy entdeckte Code findet sich in zahlreichen verschiedenen Bereichen wie Paketen für die Programmiersprachen Go, Python und Javascript oder auch Bash, Docker und Kubernetes. Hinzugefügt wird der Code demnach etwa auch zu NPM-Paketskripten, Docker Images oder zur Dokumentation zur Installation.

Der eigentliche Angriff zielt laut Lacy dabei darauf, sämtliche Umgebungsvariablen eines Skripts, einer Anwendung oder des gesamten Rechners zu kopieren und diese an einen Server der Angreifer zu schicken. Die so erlangten Daten können etwa Schlüssel für Server- oder Cloudzugänge sein, was wohl bereits aktiv zur Codeausführung genutzt wird, wie weitere Untersuchungen zeigten.

Laut Lacy werden zur Verbreitung der Malware etwa echte Open-Source-Projekte als Kopie gefälscht. Ebenso wird der Code der Malware dabei über scheinbar harmlose Pull Requests eingereicht und weiter verbreitet. Dazu gehörten etwa Beiträge, die sich als Änderung der Versionsnummer tarnen, andere seien schlicht entstellt und geben einen anderen Inhalt vor.

Vor allem das zuletzt beschriebene Vorgehen könnte auf überlastete Maintainer von Open-Source-Projekten abzielen, die solch eine angebotene Hilfe ohne zusätzliche Prüfung vorschnell in die eigenen Projekte einpflegen. Darüber kann sich die Malware wiederum auf die Nutzer dieser Projekte ausweiten. Lacy empfiehlt deshalb eine Überprüfung des von Github geclonten Codes und Maintainern die Nutzung von GPG-Signaturen für Code in ihrem Projekt. Das Sicherheitsteam von Github hat inzwischen offenbar damit begonnen, den Code auf der Plattform zu entfernen.