Article

10.000 GitHub-Repos verbreiten Trojaner-Malware

Security Malware GitHub Trojaner

Systematische Infrastruktur entdeckt

Ein Sicherheitsforscher hat eine großangelegte Malware-Verteilungskampagne auf GitHub aufgedeckt: 10.000 Repositories verbreiten Trojaner, und sie alle teilen ein gemeinsames Muster - was die Entdeckung ermöglichte.

Die Repositories sind keine Forks, haben unterschiedliche Namen und stammen von verschiedenen Contributoren. Aber sie alle folgen demselben Schema:

  • Alle paar Stunden wird der vorherige Commit gelöscht und ein neuer gepusht
  • Nur die README-Datei wird geändert
  • Die README enthält einen Link zu einem ZIP-Archiv
  • Die Commits sind aus einem anderen Repository kopiert

So funktioniert die Infektion

Das ZIP-Archiv enthält 4 Dateien:

  • Application.cmd oder Launcher.cmd
  • loader.exe oder luajit.exe (oder anderer Name)
  • random_name.cso oder random_name.txt
  • lua51.dll

Das Besondere: Wenn man den Link bei VirusTotal einreicht, werden 0 Viren erkannt. Erst wenn man die ZIP-Datei selbst hochlädt, erkennt VirusTotal den Trojaner. Die Malware-Autoren nutzen also URL-basierte Erkennungsumgehung.

Der Skalierungsfaktor

Der Forscher nutzte den gharchive-Service, um alle GitHub-Events der letzten 5 Tage zu analysieren. Von 16 Millionen Commit-Pushes waren nur 3.000 Repositories, die alle paar Stunden aktualisiert wurden - ein effektiver Filtermechanismus.

Nach zusätzlichen Filtern (kein Bot, mehr als ein Monat seit dem vorletzten Commit, mehrere Contributors) blieben 14 Repositories, die das Muster vollständig erfüllten. Die Frage: Warum so wenige? Die Hypothese ist, dass die meisten Repositories dieses Muster bereits gelöscht wurden oder die Kampagne in Wellen operiert.

Was Nutzer tun können

  • Niemals ZIP-Archive aus README-Links herunterladen, ohne sie zu überprüfen
  • Die Commit-Historie prüfen: Wenn ein Repo plötzlich nur README-Updates alle paar Stunden hat, ist das verdächtig
  • Repository-Namen googeln: Oft existiert ein Original mit demselben Namen

Der Forscher hat einen Git Malware Finder veröffentlicht, um solche Repositories zu identifizieren.