Злоумышленники могут использовать опцию в GitHub Codespaces для доставки вредоносного ПО в системы жертв.
GitHub Codespaces — это настраиваемая облачная среда разработки, которая позволяет пользователям отлаживать, поддерживать и вносить изменения в заданную кодовую базу из веб-браузера или посредством интеграции в Visual Studio Code.
GitHub Codespaces также поставляется с функцией переадресации портов, которая позволяет получить доступ к веб-приложению, работающему на определенном порту в кодовом пространстве, непосредственно из браузера на локальном компьютере для тестирования и отладки.
Здесь важно отметить, что любой общедоступный перенаправленный порт также позволяет любой стороне, знающей URL-адрес и номер порта, просматривать работающее приложение без какой-либо аутентификации. Кроме того, GitHub Codespaces использует HTTP для переадресации портов. Если общедоступный порт будет обновлен для использования HTTPS или удален и повторно добавлен, видимость порта автоматически изменится на частную.
ИБ-компания Trend Micro обнаружила , что общедоступные переадресованные порты могут использоваться для создания вредоносного файлового сервера с использованием учетной записи GitHub.
Цепочка заражений с использованием переадресованных портов
При этом злоупотребляемые среды не будут помечены как вредоносные или подозрительные, даже если они обслуживают вредоносный контент (например, скрипты, вредоносные программы и программы-вымогатели), и организации могут рассматривать эти события как ложные срабатывания.
Киберпреступник может создать кодовое пространство и загрузить в него вредоносное ПО из своего домена, а также установить видимость переадресованного порта для всех, что существенно преобразует приложение, выступающее в роли веб-сервера, на котором размещаются мошеннические полезные нагрузки.
Используя такие скрипты, злоумышленники могут использовать GitHub Codespaces для быстрой доставки вредоносного контента, публично открывая порты в своих средах кодового пространства.
GitHub сообщил, что ему известно о возможности неправомерного использования, поэтому платформа будет показывать подсказку, когда пользователь попытается подключиться к кодовому пространству.
