Ten „oficjalny” plik do pobrania znaleziony na GitHubie może oddawać twoje hasła
Szukasz popularnej aplikacji - portfela kryptowalut, narzędzia bezpieczeństwa, edytora PDF - i jeden z czołowych wyników wygląda idealnie: schludna strona na GitHubie, oficjalnie wyglądające logo, duży przycisk pobierania. GitHub to miejsce, gdzie prawdziwi programiści publikują prawdziwe oprogramowanie, więc wydaje się godny zaufania. Dokładnie tego instynktu wykorzystuje kampania trwająca od końca czerwca.
Badacze z Arctic Wolf naliczyli co najmniej 292 fałszywe strony na GitHubie założone od 26 czerwca, każda ubrana tak, by podszywać się pod znaną markę - produkty bezpieczeństwa, portfele i giełdy kryptowalut, aplikacje finansowe, narzędzia deweloperskie, bezpieczną pocztę e-mail, a nawet oprogramowanie do gier. Są dostrojone tak, by zajmować wysokie pozycje w wynikach wyszukiwania, więc trafiasz na nie, szukając oprogramowania, którego już chciałeś. Plik README na stronie zawiera efektowny link „bezpiecznego pobierania” z fałszywymi odznakami zaufania, prowadzący do pliku, który wcale nie jest tą aplikacją.
To, co ląduje na komputerze, to błyskawiczny złodziej danych: uruchamia się raz, zgarnia wszystko, co może, i znika. Za jednym razem przechwytuje zapisane hasła i ciasteczka z ponad 19 przeglądarek, atakuje 41 lokalizacji portfeli kryptowalut, wykrada dane logowania do Discorda, Steam i Telegrama, opróżnia Menedżera poświadczeń Windows, a nawet robi zrzuty ekranu - po czym wysyła to wszystko na zagraniczny serwer.
Kilka nawyków trzyma cię z dala od tego zagrożenia. Pobieraj oprogramowanie ze strony producenta, a nie z tego, co akurat jest na szczycie wyszukiwarki. Traktuj zupełnie nowe repozytorium na GitHubie, prawie bez historii, jako podejrzane, i pamiętaj, że prawdziwy instalator nigdy nie każe uruchamiać pliku .exe prosto z archiwum ZIP. Tendvane opiera się na tej samej zasadzie: aktualizacje aplikacji przychodzą przez własny menedżer pakietów Windows (winget), a nie przypadkowe strony do pobierania, a kontrola bezpieczeństwa oznacza nieoczekiwane programy startowe i dodatki do przeglądarki, gdyby coś kiedykolwiek się przemknęło.