Хакеры используют фальшивые уведомления GitHub для кражи данных

Исследователи обнаружили новую фишинговую кампанию, в рамках которой злоумышленники выдают себя за команды безопасности и найма GitHub, атакуют репозитории пользователей и уничтожают их содержимое. Затем они просят жертв связаться с ними через Telegram, чтобы получить копию репозитория за выкуп.

Как происходит атака

Разработчики получают фальшивые предложения о работе или предупреждения о безопасности по электронной почте с адреса notifications@github.com.

Эти письма перенаправляют жертв на ложные сайты githubcareers[.]online или githubtalentcommunity[.]online. На этих ресурсах разработчиков просят авторизоваться в своих GitHub-аккаунтах и предоставить доступ новому OAuth-приложению.

Читайте также:

Всё об аутентификации: способы, перспективные технологии и проблемы

При авторизации приложение запрашивает доступ к личным репозиториям пользователя и другим данным, в частности возможность удалять репозитории.

После того как приложение получило доступ к репозиториям жертв, хакеры удаляют их содержимое и переименовывают репозиторий. В нём они оставляют файл Readme.me с инструкциями по восстановлению данных через Telegram.

Кто стоит за этим

Первым обратил внимание на эти атаки чилийский специалист по кибербезопасности Херман Фернандес. По его словам, злоумышленники запустили фишинговую кампанию ещё в феврале и с того момента украли десятки репозиториев.

Специалист также сообщает, что хакеры используют ник Gitloker в Telegram и представляются аналитиками в области кибербезопасности.

Рекомендации по безопасности

Специалисты GitHub рекомендуют пользователям принять следующие меры для защиты своих аккаунтов:

• Не нажимать на ссылки и не отвечать на подобные уведомления, а сразу сообщать о них команде GitHub.
• Никогда не авторизовывать неизвестные OAuth-приложения, так как они могут открыть доступ к данным для третьих лиц.
• Периодически проверять авторизованные OAuth-приложения.
• Сменить пароли учётных записей для защиты от несанкционированного доступа.