Злоумышленники могут использовать опцию в GitHub Codespaces для доставки вредоносного ПО в системы жертв.

GitHub Codespaces — это настраиваемая облачная среда разработки, которая позволяет пользователям отлаживать, поддерживать и вносить изменения в заданную кодовую базу из веб-браузера или посредством интеграции в Visual Studio Code.

GitHub Codespaces также поставляется с функцией переадресации портов, которая позволяет получить доступ к веб-приложению, работающему на определенном порту в кодовом пространстве, непосредственно из браузера на локальном компьютере для тестирования и отладки.

Здесь важно отметить, что любой общедоступный перенаправленный порт также позволяет любой стороне, знающей URL-адрес и номер порта, просматривать работающее приложение без какой-либо аутентификации. Кроме того, GitHub Codespaces использует HTTP для переадресации портов. Если общедоступный порт будет обновлен для использования HTTPS или удален и повторно добавлен, видимость порта автоматически изменится на частную.

ИБ-компания Trend Micro обнаружила , что общедоступные переадресованные порты могут использоваться для создания вредоносного файлового сервера с использованием учетной записи GitHub.

Цепочка заражений с использованием переадресованных портов

При этом злоупотребляемые среды не будут помечены как вредоносные или подозрительные, даже если они обслуживают вредоносный контент (например, скрипты, вредоносные программы и программы-вымогатели), и организации могут рассматривать эти события как ложные срабатывания.

Киберпреступник может создать кодовое пространство и загрузить в него вредоносное ПО из своего домена, а также установить видимость переадресованного порта для всех, что существенно преобразует приложение, выступающее в роли веб-сервера, на котором размещаются мошеннические полезные нагрузки.

Используя такие скрипты, злоумышленники могут использовать GitHub Codespaces для быстрой доставки вредоносного контента, публично открывая порты в своих средах кодового пространства.

GitHub сообщил, что ему известно о возможности неправомерного использования, поэтому платформа будет показывать подсказку, когда пользователь попытается подключиться к кодовому пространству.

Источник: securitylab