Хакеры нашли способ загрузить вредоносное ПО на платформу GitHub и даже создать впечатление, будто оно размещается и распространяется другими разработчиками, заслуживающими доверия. Об этом сообщает специализирующаяся на информационной безопасности компания McAfee. 

Как подчеркнули в McAfee, большая часть вредоносного ПО использует URL-адреса Microsoft GitHub, более того, этот «недостаток» системы безопасности можно использовать в любом общедоступном репозитории на GitHub. 

В отчёте McAfee рассказывается о новом загрузчике вредоносного ПО LUA, распространяемом через, по всей видимости, репозиторий Microsoft GitHub. URL-адреса установщиков вредоносных программ, указывают на их принадлежность к репозиторию Microsoft, что, однако, не соответствует действительности. Как оказалось, таким образом можно подделать связь не только с репозиторием Microsoft, но и любого другого разработчика или компании с хорошей репутацией. 

Злоумышленники использовали необычную схему, задействуя механизм загрузки файлов в комментариях GitHub. При этом компании-жертвы мало что могут сделать, чтобы защитить себя от подобного. Единственное пока решение — вообще отключить комментарии, но это приносит больше проблем, чем решает. Не связанные с вредоносным ПО пользователи часто заходят в раздел комментариев, чтобы сообщить об ошибках или сделать предложения по проекту. Более того, комментарии можно отключить максимум на шесть месяцев за один раз.