Вредоносы замаскировались под прокси
Эксперты центра исследования киберугроз Solar 4RAYS ГК "Солар" обнаружили в поисковой выдаче браузеров вредоносные клоны популярных прокси-сервисов. Причем размещены они как на официальной платформе для хостинга ИТ-проектов GitHub, так и на ее зеркалах.
По словам экспертов ГК "Солар", пользователи нередко ищут прокси-сервисы в браузерах. Именно там пользователей ждет ловушка, связанная со спецификой работы поисковиков. В условиях действующих ограничений в РФ ссылки на оригинальные и валидные репозитории исключаются из поисковой выдачи "Яндекса" - на самом верху поиска образуется вакуум, который моментально заполняется свежими ссылками на вредоносные программы. За последнее время эксперты Solar 4RAYS обнаружили несколько очень схожих инцидентов запуска подобных вредоносных утилит, скачанных с GitHub под видом подлинного софта.
Опасность могут представлять и фальшивые репозитории с зеркал GitHub. Они максимально точно имитируют оригинальные проекты: мошенники полностью копируют раздел README.md настоящей программы, сохраняя оригинальную верстку и даже реквизиты для донатов настоящему автору. В данном случае злоумышленники эксплуатируют доверие авторитету GitHub: видя знакомое оформление, пользователи полагают, что скачиваемый код безопасен. Однако вместо подлинного файла может встретиться подмененный.
"Такой подход рассчитан на машинальные действия пользователя: знакомое оформление снижает бдительность, и человек автоматически переходит к загрузке, не проверяя подлинность источника. При этом и оригинальная платформа GitHub, хотя сама по себе полностью безопасна и предоставляет только хостинг, не успевает модерировать непрерывный поток новых загружаемых файлов, что злоумышленники используют в корыстных целях", - отметил аналитик вредоносного ПО центра исследования киберугроз Solar 4RAYS ГК "Солар" Никита Прямухин.
"Подобные кампании направлены на компрометацию доверия пользователя. Злоумышленники создают практически полные копии легитимных репозиториев и распространяют через них модифицированные исполняемые файлы. Поэтому анализировать стоит не оформление страницы, а сам источник. Имеет значение владелец репозитория, история коммитов, активность проекта, наличие цифровых подписей релизов, совпадение контрольных сумм опубликованных файлов с теми, что указаны в официальной документации. Если распространяется только готовый бинарный файл без возможности проверить его происхождение, это уже серьезный повод отказаться от установки", - рассказал руководитель отдела технического пресейла ООО "АйТи Таск" (IT Task) Михаил Тимаев.
Также Михаил Тимаев уточнил, что смена браузера не поможет сократить риск перехода по вредоносным ссылкам: "Большинство современных браузеров используют схожие механизмы проверки репутации сайтов и загружаемых файлов. Проблема в том, что новые вредоносные репозитории зачастую появляются быстрее, чем попадают в такие базы".
