Soporte técnico
Documentación
Inicio de sesión
Póngase en contacto con nosotros
Exploit de GitHub: Proteger las redes de actividades maliciosas
Wajahat Raja
25 de enero de 2024 - Equipo de expertos TuxCare
En el ámbito en constante evolución de las amenazas a la ciberseguridad, GitHub, una plataforma de codificación colaborativa y control de versiones ampliamente adoptada, se ha convertido en un objetivo principal para los ciberdelincuentes y las amenazas persistentes avanzadas (APT). Esta exploración profundiza en los detalles del exploit de GitHub y las múltiples formas en que se aprovecha para actividades maliciosas, así como los retos de ciberseguridad asociados y las estrategias eficaces para mitigar los riesgos de seguridad del software de código abierto. los riesgos de seguridad del software de código abierto.
El panorama de los exploits en GitHub
No es la primera vez que nos enteramos de las vulnerabilidades de seguridad de GitHub. La omnipresencia de GitHub en los entornos de tecnología de la información (TI) lo ha convertido en una opción atractiva para los actores de amenazas que buscan alojar y entregar cargas útiles maliciosas. La explotación de GitHub como centro de mando y control y punto de exfiltración de datos se ha convertido en una estrategia predominante para los adversarios.
La Explotación de "Living-Off-Trusted-Sites" (LOTS)
Esta explotación, acuñada como "living-off-trusted-sites" (LOTS), permite a los actores de amenazas mezclarse sin problemas con el tráfico legítimo de la red. Al aprovechar la naturaleza de bajo coste, alta disponibilidad y fácil acceso de GitHub, los atacantes pueden eludir las defensas de seguridad tradicionaleslo que complica el rastreo de la infraestructura ascendente y la atribución de los actores.
Vulnerabilidades de la plataforma de colaboración de código e implicaciones
Los servicios de GitHub, esenciales para innumerables operaciones legítimas, están siendo cada vez más utilizados indebidamente para diversos esquemas de infraestructura maliciosa. Entrega de carga útilLa entrega de cargas útiles, la resolución de caídas muertas (DDR), el mando y control total (C2) y la exfiltración son los principales abusos. Aunque las limitaciones inherentes a GitHub suponen un reto para los usuarios maliciosos, el uso generalizado de la plataforma la convierte en un objetivo atractivo.
Mitigación de las amenazas a la ciberseguridad en GitHub
Garantizar la seguridad de los repositorios de código es primordial para salvaguardar los activos de desarrollo sensibles. Para combatir actividades maliciosas en proyectos de código abierto como GitHub, es imperativa una estrategia múltiple. Esto implica enfoques basados tanto en el servicio como en el contexto, adaptados a las necesidades únicas de los diferentes entornos corporativos.
Enfoques de detección basados en el contexto
La comprensión de las necesidades específicas de las organizaciones constituye la base de esta estrategia de prevención de GitHub. Al autorizar sólo a los departamentos designados a acceder a los servicios de GitHub, cualquier tráfico inesperado puede ser marcado como sospechoso. Este enfoque exige un conocimiento profundo del entorno organizativo, incluida una lista exhaustiva de usuarios y segmentos de red autorizados.
Técnicas de detección basadas en servicios
Es crucial centrarse en identificar los servicios de GitHub innecesarios dentro de un entorno corporativo. Por ejemplo, las organizaciones que utilizan servidores internos de Git Enterprise pueden encontrar redundantes ciertos servicios externos de GitHub. Comprender el uso de los servicios de GitHub de la organización es fundamental para esta estrategia.
Métodos de detección basados en registros
Analizar las interacciones entre los sistemas y los servicios de GitHub mediante proxy y registros de auditoría es un enfoque eficaz. La supervisión de binarios Living-Off-the-Land (LOLbins) específicos, la detección de ejecutables que no sean navegadores y que realicen solicitudes DNS a dominios de GitHub, y la creación de reglas de detección para comandos de Git implicados en la filtración de datos son componentes clave de la detección basada en registros.
Detección basada en combinaciones de SIL
Dado que el malware suele explotar múltiples servicios de Living-Off-the-Land, la detección de combinaciones de estos servicios puede ser eficaz. La identificación de tráfico en las páginas de GitHub que redirige a otros servicios podría indicar actividad maliciosa.
Detección basada en la red
Dado el papel de GitHub en la entrega de cargas útiles y DDR, resulta valioso supervisar las comunicaciones de red para detectar conexiones a infraestructuras maliciosas. Sin embargo, es posible que este enfoque solo identifique infecciones después de que se haya producido la exfiltración de datos.
Los procesos manuales, como la búsqueda a través de los nombres de usuario de GitHub y el análisis del historial de commits, proporcionan información sobre el comportamiento de los actores de amenazas. Técnicas como el uso de herramientas de escaneado de sitios web para identificar los sitios de alojamiento de malware asociados a GitHub contribuyen a la búsqueda proactiva de amenazas.
Adaptación a los retos futuros
Como el abuso de servicios legítimos de Internet como GitHub, los defensores y proveedores de servicios deben adaptarse para asegurar los repositorios de GitHub. Las estrategias de mitigación eficaces exigen métodos de detección avanzados, una visibilidad completa y diversos ángulos de detección.
Además, se prevé un cambio en la titularidad de la seguridad, ya que los servicios de "vivir fuera de la tierra" podrían asumir un papel más importante en la lucha contra los abusos. Por lo tanto, seguir las buenas prácticas de seguridad de GitHub es esencial para mantener la integridad de su base de código y protegerse contra posibles amenazas.
Conclusión
El uso indebido de GitHub con fines malintencionados pone de manifiesto un problema crítico de ciberseguridad: la explotación de servicios legítimos y de confianza. Hacer frente a este problema requiere no sólo soluciones tecnológicas avanzadas, sino también un cambio de paradigma en la forma de enfocar la ciberseguridad. Proteger los repositorios de código y hacer hincapié en estrategias basadas en inteligencia es primordial para ir por delante del cambiante panorama de las amenazas.
Las fuentes de este artículo incluyen artículos en The Hacker News y Conscia.
