在Apiiror最近的一份報(bào)告中，安全研究和數(shù)據(jù)科學(xué)團(tuán)隊(duì)發(fā)現(xiàn)了一次大規(guī)模的攻擊。Apiiro將其稱為“惡意存儲庫混淆”，并估計(jì)有超過10萬個GitHub存儲庫受到影響，甚至可能有數(shù)百萬個。
報(bào)告稱：“在GitHub等類似平臺上輕松自動生成賬戶和存儲庫，使用舒適的API和易于繞過的軟速率限制，再加上隱藏的大量存儲庫，使其成為秘密感染軟件供應(yīng)鏈的完美目標(biāo)。”
GitHub存儲庫是GitHub用戶可以上傳代碼的地方，有一些非常受歡迎的存儲庫，經(jīng)常被很多人搜索和下載。在水坑攻擊（Watering Hole Attack）中，攻擊者下載流行的存儲庫，添加惡意代碼后重新上傳到GitHub。一旦攻擊者重新上傳了惡意存儲庫，他們就會使用自動化技術(shù)對存儲庫進(jìn)行數(shù)千次fork分叉。然后，他們通過社交媒體、Discord和其他方式向目標(biāo)受眾傳播假版本的存儲庫。
報(bào)告還稱：“GitHub已收到通知，大部分惡意代碼庫已被刪除，但該活動仍在繼續(xù)，試圖注入惡意代碼的攻擊正變得越來越普遍。”
從報(bào)告中獲悉，該攻擊于2023年5月開始，呈指數(shù)級增長。這種攻擊似乎面臨一種“打地鼠”的情況，GitHub必須在代碼上傳后嘗試檢測代碼，但可能為時(shí)已晚。隨著這些攻擊的繼續(xù)，越來越多的用戶可能會被感染。
