در تحولی نگران‌کننده برای جامعه توسعه‌دهندگان، کارزار بدافزاری موسوم به FakeGit بار دیگر فعالیت‌های تخریبی خود را با مقیاسی گسترده آغاز کرده است. بر اساس تحلیل‌های امنیتی منتشر شده در مهرماه ۱۴۰۳، بیش از ۱۷،۶۱۰ مخزن (Repository) آلوده در پلتفرم گیت‌هاب شناسایی شده‌اند که با هدف توزیع بدافزارهای جاسوسی و سرقت اطلاعات، توسعه‌دهندگان ناآگاه را هدف قرار می‌دهند.
معماری حملات FakeGit و روش‌های انتشار
کارزار FakeGit با بهره‌گیری از تکنیک‌های مهندسی اجتماعی و تزریق کدهای مخرب در مخازن، سعی دارد کاربران را به دانلود و اجرای فایل‌های اجرایی فریبنده ترغیب کند. این مخازن معمولاً با استفاده از اسامی جذاب و کلیدواژه‌های پرجستجو ایجاد می‌شوند تا در نتایج جستجوی گیت‌هاب و موتورهای جستجو رتبه بالاتری کسب کنند. بدافزارهای توزیع شده در این دوره شامل SmartLoader و StealC هستند که هر دو از نوع infostealer (سارق اطلاعات) محسوب می‌شوند.
تحلیل فنی بدافزارهای SmartLoader و StealC
بدافزار StealC یکی از پیچیده‌ترین ابزارهای سرقت اطلاعات در شبکه زیرزمینی هک است که توانایی استخراج داده‌های حساس نظیر کوکی‌های مرورگر، رمزهای عبور ذخیره‌شده، کیف‌پول‌های ارز دیجیتال و اسناد شخصی را دارد. در سوی دیگر، SmartLoader به‌عنوان یک لودر مرحله اول عمل می‌کند که با هدف دور زدن مکانیزم‌های تشخیص آنتی‌ویروس، وظیفه تزریق payloadهای سنگین‌تر به حافظه سیستم قربانی را بر عهده دارد. روش نفوذ این بدافزارها معمولاً به صورت پنهان در اسکریپت‌های PowerShell یا فایل‌های اجرایی تغییر‌یافته (.exe) است که در پوشه‌هایی با ظاهر «کد منبع» یا «ابزارهای کرک نرم‌افزار» پنهان شده‌اند.
چالش‌های اکوسیستم گیت‌هاب در برابر حملات زنجیره تأمین
گسترش ابزارهای متن‌باز (Open Source) باعث شده است که حملات به زنجیره تأمین (Supply Chain Attacks) به اولویت اصلی مهاجمان تبدیل شود. مهاجمان در این کارزار از شبکه‌هایی از اکانت‌های جعلی گیت‌هاب استفاده می‌کنند تا با ایجاد ستاره (Star) و فورک (Fork)های مصنوعی، به مخازن آلوده خود اعتبار کاذب ببخشند. توسعه‌دهندگان باید توجه داشته باشند که تعداد ستاره‌های بالا در یک مخزن، لزوماً به معنای امنیت یا اصالت آن کد نیست.
- تعداد مخازن آلوده: بیش از ۱۷،۶۱۰ مخزن شناسایی شده
- نوع بدافزار اولیه: StealC (سرقت اطلاعات)
- لودر جانبی: SmartLoader (جهت دور زدن Endpoint Security)
- روش انتشار: تزریق کد در مخازن عمومی و مهندسی اجتماعی
- اهداف اصلی: داده‌های مرورگر، کلیدهای API، و کیف پول‌های رمزارز
راهکارهای امنیتی و مقابله برای تیم‌های توسعه
برای حفظ امنیت زیرساخت‌ها و کدهای توسعه‌یافته، رعایت دستورالعمل‌های زیر ضروری است:
- اعتبارسنجی منابع: قبل از کلون کردن پروژه‌های ناشناخته، حتماً تاریخچه کامیت‌ها (Commit History) و شهرت اکانت توسعه‌دهنده را بررسی کنید.
- اجرای قرنطینه‌ای: هرگز فایل‌های اجراییِ باینریِ موجود در مخازن گیت‌هاب را بدون اجرای آن‌ها در یک محیط ایزوله (مانند Docker Container یا ماشین مجازی) اجرا نکنید.
- استفاده از ابزارهای اسکن: از ابزارهای پایش و اسکن خودکار برای شناسایی وابستگی‌های (Dependencies) مخرب در پروژه‌های خود استفاده نمایید.
- محدودیت دسترسی: کلیدهای API و اعتبارنامه‌های حساس خود را در محیط‌های عمومی مخزن (حتی در فایل‌های .env) قرار ندهید.
