Siber güvenlik araştırmacıları, GitHub'da Unicode karakterlerle gizlenen kötü amaçlı kod içeren projeleri ortaya çıkardı. Bu tehdit geliştiriciler için risk oluşturuyor.
© RusPhotoBank
Siber güvenlik araştırmacıları, saldırganların gizli kötü amaçlı kod içeren GitHub projelerini yayınladığı büyük çaplı bir kampanyayı ortaya çıkardı. Bu depolar, görsel kod incelemesi sırasında tespit edilmesi neredeyse imkansız olan özel Unicode karakterleri kullanıyor. Geliştiricilere boşluk veya satırlar gibi görünen bu kod, bir yorumlayıcı tarafından işlendiğinde doğru şekilde çözülebiliyor ve zararlı eylemler gerçekleştirebiliyor.
Aikido Security uzmanlarına göre, 3-9 Mart tarihleri arasında platformda bu şekilde hazırlanmış en az 151 paket ortaya çıktı. Bu projeler genellikle popüler kütüphaneler veya tanınmış yazılım araçları gibi görünerek, geliştiricilerin yanlışlıkla kullanma ihtimalini artırıyor. İlk bakışta kod güvenli ve okunabilir görünse de, tehlikeli işlevler görünmez karakter dizileri içinde gizleniyor. Bu durum, geleneksel manuel kontrollerin tehdidi tespit etmede etkisiz kalmasına yol açıyor. Benzer bulgular NPM, Open VSX ve VS Code uzantıları pazarı gibi diğer platformlarda da daha önce belgelenmişti.
Uzmanlar kampanyayı geçici olarak Glassworm adı verilen bir grupla ilişkilendiriyor. Üyelerini tanımlamak son derece zor çünkü depolar oldukça inandırıcı görünüyor. Düzenli olarak belge güncellemeleri, sürüm değişiklikleri, hata düzeltmeleri ve kod yeniden düzenlemeleri içeriyorlar - tümü aktif proje geliştirmeyi taklit ediyor. Uzmanlar, bu kadar gerçekçi değişikliklerin büyük hacmini oluşturmak için saldırganların üretken yapay zeka modellerini kullanmış olabileceğini öne sürüyor.
Teknik olarak saldırı, bazı Unicode karakterlerinin görsel olarak boşluklardan ayırt edilemez olmasına rağmen Latin alfabesi karakterleri olarak yorumlanabilmesi gerçeğinden yararlanıyor. Sonuç olarak, küçük bir yerleşik kod çözücü bu sembollerden gerçek baytları çıkarıyor ve bunları bir kod yürütme işlevine iletiyor. Araştırmacılar, kötü amaçlı paketler genellikle yeterli indirme sayısına ulaştıktan sonra kaldırıldığı için, keşfedilen projelerin tüm kampanyanın yalnızca küçük bir kısmını temsil edebileceğini belirtiyor.