GitHub는 악성 코드를 호스팅하고 Microsoft와 관련된 것처럼 보이는 다운로드 링크를 생성하는 데 악용되었습니다

해외 기사를 번역기로 번역 하였습니다 오역이 있을수 있으니 원문을 참고 하세요

악의적인 행위자는 GitHub 댓글의 파일 업로드 로직을 적극적으로 악용하여 악성 코드를 호스팅하고 확산시키고 있습니다. 악성코드는 URL을 생성하는 데 사용된 저장소의 이름과 소유자가 포함된 자동 생성된 다운로드 링크를 통해 배포될 수 있습니다.

아이러니하게도 바로 이런 방식으로 개발자 플랫폼 의 소유자인 Microsoft가 악성 코드와 회사 사이에 거짓 제휴를 맺은 해커들에게 학대를 당했습니다. 그러나 해당 주제에 대한 Bleeping Computer의 조사 결과, 다른 신뢰할 수 있는 개발자나 회사도 동일한 방식으로 악용될 수 있습니다.

인기 있는 온라인 서비스에 악성 코드를 저장하는 것은 새로운 접근 방식이 아닙니다. 그러나 해커들이 GitHub를 악용하는 방식은 다소 창의적입니다.

댓글 기능을 사용해 업로드된 파일은 GitHub 서버에 저장됩니다. 해당 파일에 대한 접근 링크는 실시간으로 생성되며, 성공적으로 업로드되면 해설 개념에 포함됩니다.

Bleeping Computer가 자세히 설명했듯이 사용자는 제안이나 버그 보고서와 함께 댓글을 보낼 필요조차 없습니다. 파일은 이미 업로드 및 저장되었으며 사용자는 해당 URL을 사용할 수 있습니다. URL에는 파일이 업로드된 저장소의 이름과 저장소 소유자의 이름이 포함됩니다.

이 파일 업로드 논리는 잠재적인 피해자가 신뢰할 수 있는 특정 개발자가 생성했거나 제휴한 링크를 클릭하고 있다고 생각하도록 속일 수 있습니다.

현재 개발자가 저장소에서 댓글을 일시적으로 끄는 것 외에 이러한 악성 캠페인으로부터 자신을 보호할 수 있는 해결 방법은 없습니다. 이는 분명히 개발자 플랫폼의 공동 작업 측면을 제한하므로 이상적인 솔루션과는 거리가 멀습니다.

Bleeping Computer의 보고서에 대한 대응으로 GitHub는 Microsoft와 관련된 것으로 보이는 악성 코드를 제거했지만 일부 다른 악성 코드 캠페인은 계속 액세스할 수 있습니다.