Wachsende Bedrohung durch gefälschte GitHub-Repositories in der Softwareentwicklung

Gefälschte GitHub-Repositories: Eine wachsende Bedrohung für die Softwarelieferkette

In der heutigen digitalen Landschaft, in der Open-Source-Software und kollaborative Entwicklungsplattformen wie GitHub eine zentrale Rolle spielen, wächst parallel die Notwendigkeit, die Integrität der Softwarelieferkette zu gewährleisten. Eine aktuelle Analyse hat eine signifikante Bedrohung aufgedeckt, bei der über 290 gefälschte GitHub-Repositories dazu genutzt werden, das Vertrauen von Entwicklern zu missbrauchen und Malware zu verbreiten. Diese Kampagne verdeutlicht die Raffinesse, mit der Angreifer versuchen, sich in die Infrastruktur der Softwareentwicklung einzuschleichen.

Die Taktik der Nachahmung: Wie Angreifer Vertrauen ausnutzen

Die von "Arctic Wolf Labs" identifizierte Kampagne, die bereits im Juni begann, basiert auf einer ausgeklügelten Form des Social Engineering. Die Angreifer erstellen GitHub-Organisationen und Repositories, die bekannte Softwareunternehmen, Sicherheitsanbieter, Entwicklertools, Kryptowährungsdienste und andere Technologie-Marken täuschend echt nachahmen. Dies geschieht durch die Kopie von Markenlogos, Marketingmaterialien und README-Inhalten legitimer Softwareanbieter. Ziel ist es, den Anschein von Legitimität zu erwecken und Entwickler zum Download bösartiger Software zu verleiten.

Ein Beispiel hierfür ist die Nachahmung von "Arctic Wolf" selbst durch eine Organisation namens "Arctic-Wolf-Security", die ein gefälschtes Onboarding-Checkliste und einen "OFFICIAL PAGE"-Button enthielt, der auf die Infrastruktur der Angreifer verlinkte.

SEO-Optimierung und dynamische Payloads

Ein entscheidender Aspekt dieser Kampagne ist die Nutzung von Suchmaschinenoptimierung (SEO), um die gefälschten Repositories in den Suchergebnissen für softwarebezogene Anfragen prominent zu platzieren. Dies erhöht die Wahrscheinlichkeit, dass Entwickler auf diese bösartigen Angebote stoßen. Die nachgeahmten Marken umfassen ein breites Spektrum, von Sicherheitstools über Entwicklersoftware bis hin zu Finanzdienstleistungen und Gaming-Produkten.

Beim Anklicken eines Download-Links werden Benutzer zunächst über eine GitHub Pages-Adresse umgeleitet, bevor sie auf eine externe, von den Angreifern kontrollierte Domain gelangen. Diese Domain präsentiert eine Download-Seite, die den Namen der ursprünglich nachgeahmten Marke trägt. Interessanterweise wurde festgestellt, dass die Angreifer eine gemeinsame HTML- und JavaScript-Vorlage verwenden, um diese Seiten dynamisch zu generieren. Durch das Extrahieren des Markennamens aus der URL konnte die Vorlage automatisch die Überschrift, den Untertitel und den Browsertitel der Seite anpassen. Dies ermöglichte die effiziente Erstellung von Download-Seiten für Hunderte von nachgeahmten Marken.

Die Server der Angreifer generieren zudem alle etwa 60 Sekunden ein neues, bösartiges ZIP-Archiv. Dabei werden der Archivname und der ausführbare Dateiname so angepasst, dass sie der nachgeahmten Softwaremarke entsprechen. Dies erschwert die Erkennung durch statische Signaturen und Hash-Listen.

Der Infektionsweg: DLL Side-Loading mit BoryptGrab

Das von "Arctic Wolf" analysierte Archiv enthielt einen legitimen, digital signierten WinGUP-Updater, eine bösartige libcurl.dll-Datei und zusätzliche Dateien zur Erhöhung der Dateigröße. Der WinGUP-Updater wurde umbenannt, um dem erwarteten Software-Installer zu ähneln. Beim Ausführen des legitimen Programms wurde die bösartige DLL durch "DLL Side-Loading" aus demselben Verzeichnis geladen. Diese Methode nutzt die von Microsoft dokumentierte DLL-Suchreihenfolge aus, bei der das System zuerst im Anwendungsverzeichnis nach der DLL sucht.

Die bösartige DLL dekodierte eine eingebettete Windows-Payload und führte diese im Speicher aus. Diese Payload wurde als Variante des "BoryptGrab"-Infostealers identifiziert, der für den Diebstahl von Zugangsdaten, Browser-Cookies, Nachrichtenanwendungen, Gaming-Konten, Windows Credential Manager-Informationen, Kryptowährungs-Wallets und Dateien aus Desktop- und Dokumentenordnern konzipiert ist. Darüber hinaus erfasst die Malware Screenshots und sammelt Informationen über das betroffene Windows-System. Die gesammelten Daten werden in einem ZIP-Archiv zusammengefasst und an einen hartcodierten Command-and-Control-Server in Russland gesendet.

Finanzielle Motive und die Bedeutung der Verifizierung

"Arctic Wolf" geht von einem finanziellen Motiv hinter dieser Kampagne aus, konnte jedoch keine spezifische Bedrohungsgruppe zuordnen. Russischsprachige Kommentare im Code der Download-Seiten wurden als nicht ausreichend für eine eindeutige Zuordnung erachtet.

Diese Kampagne verdeutlicht, dass das bloße Vorhandensein eines professionell aussehenden GitHub-Repositories nicht als Beweis für die Authentizität der Software ausreicht. Markenbildung, Dokumentation und Organisationsnamen können leicht kopiert oder generiert werden. Auch die Tatsache, dass eine Seite auf GitHub gehostet wird, ist kein Garant für die Sicherheit, da Umleitungen zu externen, bösartigen Infrastrukturen erfolgen können.

Entwickler und Organisationen sind daher angehalten, die Herkunft von Software sorgfältig zu prüfen. Dazu gehören der Vergleich des Alters eines Kontos, der Organisationsidentität, externer Ziele und Verknüpfungen von der offiziellen Website eines Anbieters, bevor ein Repository geklont oder Software heruntergeladen wird. Links, die in README-Dateien eingebettet sind, sollten stets gegen ihr tatsächliches Ziel überprüft werden.

Wo verfügbar, bieten signierte Releases und Provenance-Attestierungen stärkere Beweise für die Quelle und den Build-Prozess eines Artefakts. Diese Kontrollen beziehen sich jedoch auf das Artefakt selbst und nicht auf alle in einem Archiv enthaltenen, möglicherweise nicht zusammenhängenden Dateien. Die Untersuchung von "Arctic Wolf" hat gezeigt, dass selbst ein signiertes legitimes ausführbares Programm in Kombination mit einer bösartigen DLL und externen Umleitungen Teil einer komplexen Angriffsstrategie sein kann.

Organisationen können auch private oder interne Registries nutzen, um genehmigte Paketabhängigkeiten zu verwalten und so die Kontrolle über ihre Softwarelieferkette zu erhöhen. Für nicht verifizierte Binärdateien sind separate Richtlinien erforderlich, die eine Überprüfung der Quelle, des Herausgebers, des Vertriebskanals und der verfügbaren Provenance-Informationen umfassen.

"Arctic Wolf" empfiehlt Verteidigern, das Laden von libcurl.dll durch den WinGUP-Updater mittels Side-Loading zu überwachen. Darüber hinaus wird geraten, Zugangsdaten, Browsersitzungen, Authentifizierungstoken und Kryptowährungs-Wallet-Schlüssel auf Systemen, die von der Malware betroffen waren, zu rotieren.

Fazit

Die fortgesetzte Nutzung von GitHub zur Verbreitung von Malware unterstreicht die Notwendigkeit einer erhöhten Wachsamkeit und robuster Sicherheitsmaßnahmen in der Softwareentwicklung. Die Fähigkeit von Angreifern, das Vertrauen in etablierte Plattformen zu missbrauchen, erfordert eine kontinuierliche Anpassung der Sicherheitsstrategien und eine kritische Haltung gegenüber allen Softwarequellen, selbst wenn diese scheinbar legitim erscheinen.

Bibliography

- "Fake GitHub repositories exploit developer trust to spread malware" by Muhammad Zulhusni (Developer Tech News) - "Nearly 300 GitHub repos pose as legit software to push malware" by Bill Toulas (BleepingComputer) - "Threat actor impersonated hundreds of brands on GitHub to push infostealer malware" by Zeljka Zorz (Help Net Security) - "292 Fake GitHub Repos Deliver BoryptGrab Infostealer" by Markus Kasanmascheff (WinBuzzer) - "Attackers keep using GitHub to distribute malware" (Cybernews) - "New BoryptGrab Stealer Targets Windows Users via Deceptive GitHub Pages" by Mingyue Shirley Yang (Trend Micro) - "Malicious GitHub Campaign Spins Fake "Arctic Wolf" Repositories Infecting with BoryptGrab-Lineage Infostealer" (The CISO Brief) - "Nearly 300 GitHub repos pose as legit software to push malware" by Andy Arevalo (HackWire) - "Over 100 GitHub Repositories Distributing BoryptGrab Stealer" by Ionut Arghire (SecurityWeek)