Hacker possono creare repository GitHub falsi

Secondo i ricercatori di sicurezza IT di Checkmarx, questa tecnica di attacco consente ad hacker di indurre gli sviluppatori a utilizzare codice dannoso. Nel sistema di controllo della versione Gut, i commit sono elementi vitali in quanto registrano ogni modifica apportata ai documenti, la sequenza temporale della modifica e chi ha apportato la modifica.

I ricercatori hanno identificato che un hacker potrebbe manomettere i metadati di commit per far sembrare un repository più vecchio di quello che è. Oppure, possono ingannare gli sviluppatori promuovendo i repository come affidabili poiché i contributori rispettabili li mantengono. È anche possibile falsificare l’identità del committente e attribuire il commit a un account GitHub autentico.

I ricercatori di Checkmarx hanno spiegato nel loro post sul blog che hacker potrebbero manipolare i timestamp dei commit, che sono elencati su GitHub. I falsi commit possono anche essere generati automaticamente e aggiunti al grafico dell’attività GitHub dell’utente, consentendo all’attaccante di farlo apparire attivo sulla piattaforma per molto tempo. Il grafico dell’attività mostra l’attività su repository privati ​​e pubblici, rendendo impossibile screditare i falsi commit.