GitHub, el repositorio de software de código abierto más grande del mundo, es ahora el objetivo de una campaña de ataque de phishing diseñada específicamente para recopilar y robar credenciales de la ciudad. miembros a través de sitios web falsos que imitan la página de inicio de sesión de GitHub.
Además de secuestrar una cuenta de usuario de Github, el atacante también descarga inmediatamente todo el contenido de los repositorios privados de la víctima, incluidas, entre otras, “propiedades propiedad de la cuenta. Organizaciones y otros contribuyentes”.
‘Si los atacantes pueden robar las credenciales de inicio de sesión del usuario de GitHub, pueden crear rápidamente un token de acceso de GitHub personal o autorizar las aplicaciones OAuth en la cuenta para mantener los permisos. Acceso en caso de cambios de contraseña de las víctimas ”, dijo el equipo de Respuesta a Incidentes de Seguridad (SIRT) de GitHub en una advertencia.
GitHub
Ataques de phishing dirigidos a cuentas de GitHub activas
A través de los correos electrónicos de suplantación de identidad, los piratas informáticos utilizan muchos tipos diferentes de “cebo” para engañar al objetivo y hacer clic en el enlace malicioso adjunto. En el caso de que los usuarios de GitHub sean estafados y hagan clic en un enlace para verificar la actividad de la cuenta, serán redirigidos a una página de inicio de sesión de GitHub falsa, diseñada para ser 99% auténtica. Si la víctima no reconoce e ingresa la información de inicio de sesión como de costumbre, toda la información de inicio de sesión de la cuenta se guardará y se enviará al servidor controlado por el atacante.
Además, la página de destino fraudulenta también filtrará el código 2FA de la víctima en tiempo real si está utilizando una aplicación móvil con un algoritmo de contraseña de un solo uso (TOTP). Este mecanismo malicioso permite que un atacante obtenga acceso fácilmente a una cuenta protegida mediante un método de autenticación de dos factores basado en TOTP.
“Sin embargo, las cuentas protegidas por claves de seguridad de hardware no se verán prácticamente afectadas por este ataque”, Dijo SIRT.
Esta campaña de fraude en curso se dirige a los usuarios de GitHub que actualmente operan para empresas de tecnología en varios países, utilizando direcciones de correo electrónico obtenidas de compromisos públicos.
En particular, los correos electrónicos de phishing se envían desde nombres de dominio legítimos, utilizando servidores de correo electrónico previamente comprometidos o con la ayuda de información de API robada de proveedores legítimos de servicios de correo electrónico masivo. .
Además, los atacantes detrás de esta campaña también utilizan servicios de acortamiento de URL diseñados para ocultar la URL de la página de destino y combinar una serie de servicios de acortamiento de URL para mejorar el encubrimiento. . Además, para dificultar la identificación de los enlaces maliciosos adjuntos a los correos electrónicos, también utilizan redireccionamientos basados en PHP en sitios web comprometidos.
Recomendaciones de seguridad de GitHub
Las recomendaciones hechas por el equipo SIRT para los usuarios de Github son las siguientes:
- Restablezca la contraseña de la cuenta inmediatamente.
- Restablezca el código de recuperación de dos factores de inmediato.
- Revise el token de acceso personal.
- Tome medidas adicionales para controlar y proteger mejor su cuenta.
- Considere utilizar llaves de seguridad de hardware y un administrador de contraseñas integrado en el navegador.
- Tenga cuidado con los correos electrónicos entrantes.
ataques de red de seguridad ataques de phishing github
GitHub, el repositorio de software de código abierto más grande del mundo, es ahora el objetivo de una campaña de ataque de phishing diseñada específicamente para recopilar y robar credenciales de la ciudad. miembros a través de sitios web falsos que imitan la página de inicio de sesión de GitHub.
Además de secuestrar una cuenta de usuario de Github, el atacante también descarga inmediatamente todo el contenido de los repositorios privados de la víctima, incluidas, entre otras, las “propiedades que pertenecen a la cuenta. Organizaciones y otros contribuyentes”.
Si los atacantes pueden robar las credenciales de inicio de sesión del usuario de GitHub, pueden crear rápidamente un token de acceso de GitHub personal o autorizar las aplicaciones OAuth en la cuenta para mantener los permisos. Acceso en caso de cambios de contraseña de las víctimas ”, dijo el equipo de Respuesta a Incidentes de Seguridad (SIRT) de GitHub en una advertencia.
GitHub
Ataques de phishing dirigidos a cuentas activas de GitHub
A través de los correos electrónicos de suplantación de identidad, los piratas informáticos utilizan muchos tipos diferentes de “cebo” para engañar al objetivo y hacer clic en el enlace malicioso adjunto. Si los usuarios de GitHub son engañados y hacen clic en un enlace para verificar la actividad de su cuenta, serán redirigidos a una página de inicio de sesión de GitHub falsa, diseñada para ser 99% auténtica. Si la víctima no reconoce e ingresa la información de inicio de sesión como de costumbre, toda la información de inicio de sesión de la cuenta se guardará y se enviará al servidor controlado por el atacante.
Además, la página de destino fraudulenta también filtrará el código 2FA de la víctima en tiempo real si está utilizando una aplicación móvil con un algoritmo de contraseña de un solo uso (TOTP). Este mecanismo malicioso permite que un atacante obtenga acceso fácilmente a una cuenta protegida mediante un método de autenticación de dos factores basado en TOTP.
“Sin embargo, las cuentas protegidas por claves de seguridad de hardware no se verán prácticamente afectadas por este ataque”. Dijo SIRT.
Esta campaña de fraude en curso se dirige a los usuarios de GitHub que actualmente operan para empresas de tecnología en varios países, utilizando direcciones de correo electrónico obtenidas de compromisos públicos.
En particular, los correos electrónicos de phishing se envían desde nombres de dominio legítimos, utilizando servidores de correo electrónico previamente comprometidos o con la ayuda de información de API robada de proveedores legítimos de servicios de correo electrónico masivo. .
Además, los atacantes detrás de esta campaña también utilizan servicios de acortamiento de URL diseñados para ocultar la URL de la página de destino y combinar varios servicios de acortamiento de URL para mejorar el encubrimiento. . Además, para dificultar la identificación de los enlaces maliciosos adjuntos a los correos electrónicos, también utilizan redireccionamientos basados en PHP en sitios web comprometidos.
Recomendaciones de seguridad de GitHub
Las recomendaciones hechas por el equipo SIRT para los usuarios de Github son las siguientes:
- Restablezca la contraseña de la cuenta inmediatamente.
- Restablezca el código de recuperación de dos factores de inmediato.
- Revise el token de acceso personal.
- Tome medidas adicionales para controlar y proteger mejor su cuenta.
- Considere el uso de llaves de seguridad de hardware y un administrador de contraseñas integrado en el navegador.
- Tenga cuidado con los correos electrónicos entrantes.