▶ Una nueva campaña maliciosa ha comprometido cuentas de GitHub, donde el código malicioso se camufla como contribuciones de Dependabot para robar contraseñas de desarrolladores.
▶ El malware filtra secretos del proyecto GitHub a un servidor C2 malicioso y modifica archivos javascript existentes con código de malware ladrón de contraseñas, afectando a usuarios que envíen contraseñas en formularios web.
▶ Las víctimas tuvieron sus tokens de acceso personal de GitHub robados, utilizados por los atacantes para realizar confirmaciones de código malicioso en los repositorios, haciéndose pasar por Dependabot.
▶ Aunque el método exacto del robo no está claro, se sospecha que podría estar relacionado con un paquete malicioso inadvertidamente instalado por los desarrolladores.
▶ Este ataque destaca los intentos continuos de los actores de amenazas por envenenar los ecosistemas de código abierto y comprometer la cadena de suministro.
▶ Además de GitHub, otras plataformas como npm y PyPI también han sido objeto de ataques de exfiltración de datos, demostrando un aumento en la complejidad y las técnicas de ofuscación utilizadas por los atacantes.
Fuente: thehackernews.com
El «código malicioso» es un tipo de programa informático diseñado para hacer cosas malas en tu computadora. Puede ser como un virus que se propaga y daña archivos, un gusano que se replica por sí mismo, un troyano que se esconde como algo bueno pero hace cosas malas, o incluso ransomware que bloquea tus archivos y te pide dinero para desbloquearlos. También hay otros tipos como spyware que espía tus actividades o adware que te muestra anuncios molestos. Para protegerte, es importante tener un buen antivirus, mantener tu software actualizado y tener cuidado con lo que descargas y abres en tu computadora.
GitHub es como una plataforma en línea para guardar y trabajar en proyectos de software. Permite a los programadores guardar diferentes versiones de su código, trabajar juntos en el mismo proyecto sin problemas y realizar un seguimiento de cualquier problema o error. Es muy útil para la colaboración en equipos y para que la gente comparta su código con otros. En resumen, es como una herramienta súper útil para hacer que trabajar en proyectos de software sea más fácil y colaborativo.
