CTT Report Hub

#ParsedReport #CompletenessMedium 14-03-2026 ForceMemo: Hundreds of GitHub Python Repos Compromised via Account Takeover and Force-Push https://www.stepsecurity.io/blog/forcememo-hundreds-of-github-python-repos-compromised-via-account-takeover-and-force…

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ForceMemo активно компрометирует учетные записи GitHub и внедряет вредоносное ПО в репозитории Python, особенно затрагивая проекты Django и машинного обучения. Злоумышленники используют вредоносное ПО GlassWorm, чтобы получить доступ к токенам GitHub, что позволяет им добавлять запутанный вредоносный код в проекты, придавая обновлениям видимость законности. Вредоносное ПО использует канал управления блокчейном Solana для скрытных операций, нацеливаясь на конфиденциальную информацию, такую как данные криптовалютного кошелька, и демонстрируя значительную эволюцию тактики киберпреступников.
-----

Недавняя кампания, идентифицированная как ForceMemo, привела к компрометации сотен учетных записей GitHub, что привело к внедрению вредоносного ПО в многочисленные репозитории Python. Самые ранние случаи заражения были прослежены до 8 марта 2026 года, когда кампания все еще была активна и могла привести к компрометации новых репозиториев. Злоумышленники нацелены на различные проекты на базе Python, включая приложения Django и код машинного обучения, и они добавляют запутанный вредоносный код к таким критически важным файлам, как setup.py и main.py . Установка или выполнение любого кода из этих хранилищ компрометации запускает вредоносное ПО.

Процесс атаки начинается с захвата учетной записи, которому способствует вредоносное ПО GlassWorm, которое заражает разработчиков с помощью вредоносного кода Visual Studio и расширений Cursor. Как только злоумышленники получают токены GitHub с помощью модуля кражи учетных данных GlassWorm's, они могут принудительно отправлять коммиты компрометации в репозитории, добавляя свое вредоносное ПО, сохраняя при этом метаданные исходного коммита, что создает обманчивую видимость того, что обновления являются законными.

Само вредоносное ПО запутывается с использованием нескольких уровней, включая кодировку base64, сжатие zlib и шифрование XOR со статическим ключом. В нем содержатся проверки для предотвращения выполнения в системах, расположенных в России, что свидетельствует о восточноевропейских методах обеспечения оперативной безопасности в связи с киберпреступностью. Наиболее тревожной особенностью вредоносного ПО является использование блокчейна Solana в качестве канала управления (C2), что делает инструкции неизменяемыми и устойчивыми к цензуре за счет считывания URL-адресов полезной нагрузки непосредственно из транзакций.

После запуска вредоносного ПО загружается полезная нагрузка Node.js в домашний каталог жертвы и извлекает зашифрованную полезную нагрузку JavaScript с указанного URL-адреса. Эта полезная нагрузка структурирована таким образом, чтобы красть конфиденциальную информацию, в частности, нацеливаясь на данные расширений браузера, связанные с криптовалютными кошельками, что важно, учитывая продолжающиеся кражи, связанные с криптографией, в киберпреступности.

Технический анализ атаки показал, что вредоносное ПО пытается подключиться к нескольким конечным точкам Solana RPC, тем самым повышая устойчивость к отключениям инфраструктуры. Использование Solana в качестве канала C2 предназначено для скрытности, позволяя злоумышленникам передавать команды посредством транзакций по цепочке, а не обычных серверных вызовов.

Хотя несколько репозиториев были идентифицированы как подвергшиеся компрометации, включая популярные пакеты на GitHub, пользователям рекомендуется проверять наличие признаков присутствия вредоносного ПО путем поиска определенных переменных-маркеров и отслеживания необычных изменений в своих системах. Угроза, исходящая от этой кампании, усугубляется изощренным использованием технологии блокчейн, что указывает на эволюцию тактики, используемой киберпреступниками в отношении атак на supply chain программного обеспечения. Исследователи безопасности продолжают следить за ситуацией, анализируя тонкости методов работы вредоносного ПО, чтобы разработать стратегии защиты от подобных проникновений.

147 views02:50