GitHub-Trick: So tarnen sich Virenschleudern als Microsoft

Böswillige Akteure missbrauchen die Dateiuploads in den Kommentaren von GitHub, um Malware zu hosten und zu verbreiten. Die Malware wird dabei über automatisch generierte Download-Links verbreitet - und erweckt mitunter den Eindruck, von Microsoft zu stammen.

Download-Fallen aufgestellt

Das meldet das Online-Magazin Bleeping Computer nach der Entdeckung dieses Tricks durch die Sicherheitsexperten von McAfee. Aufgefallen ist, dass sich bislang nicht bekannte Hacker über die Kommentarfunktion in legitime Threads einklinken und dort ihre "Download-Fallen" erstellen.

Die Unbekannten veröffentlichen die Links, die durch die Kommentar-Struktur auch den Namen und den Eigentümer des Repositorys enthalten, das zur Erstellung der URL verwendet wurde, mitunter gar nicht bei Github, sondern nutzen die URL auf anderen Seiten oder in E-Mails. Der Aufbau der URL suggeriert dabei, dass der Link von einer vertrauenswürdigen Quelle stammt.


Ausgerechnet im Namen von Microsoft - also dem Eigentümer der Entwicklerplattform - wird genau auf diese Weise von Hackern Schadcode verbreitet. Aber auch jeder andere Ersteller kann für diesen Verschleierungstrick ausgenutzt werden.

Die Speicherung und damit das Angebot von bösartigem Code in beliebten Online-Diensten ist kein neuer Ansatz. Die Art und Weise, wie Hacker GitHub missbrauchen, ist jedoch ziemlich kreativ, meldete McAfee. Die Dateien, die über die Kommentarfunktion hochgeladen werden, werden automatisch auf den Servern von GitHub gespeichert. Die Zugangslinks zu diesen Dateien werden dann in Echtzeit erstellt und nach erfolgreichem Upload in den Kommentar integriert.

Wie Bleeping Computer erklärt, muss der Nutzer den Kommentar nicht einmal abschicken. Die Datei ist bereits hochgeladen und gespeichert und die URL steht dem Benutzer zur Verfügung. Die URL enthält den Namen des Repositorys, unter dem die Datei hochgeladen wurde, sowie den Namen des Besitzers des Repositorys.

Keine vertrauenswürdige Quelle

Diese Datei-Upload-Logik kann potenziellen Opfern vorgaukeln, dass sie auf einen Link klicken, der von einem bestimmten vertrauenswürdigen Entwickler erstellt wurde oder mit diesem verbunden ist - das ist in diesen Fällen aber nicht so. Derzeit gibt es für Entwickler keine andere Möglichkeit, sich vor diesen bösartigen Kampagnen zu schützen, als die Kommentare in ihren Repositorys vorübergehend zu deaktivieren. Nun wird auf eine Lösung durch Microsoft gewartet.

Als Reaktion auf den Bericht von Bleeping Computer hat GitHub die Malware, die offenbar mit Microsoft in Verbindung steht, entfernt. Es soll aber laut dem Magazin noch immer Malware-Kampagnen geben, die weiterhin zugänglich sind.


Siehe auch: