GitHub: ataque automatizado atinge 61 repositórios públicos em menos de uma hora

Por Melhores Tech · deslize para ver →

Pesquisadores da Radware registraram 83 investidas contra projetos públicos no GitHub, com comandos escondidos em comentários HTML para enganar automações.

Quantos repositórios do GitHub foram atingidos pelo ataque?

Segundo a Radware, 61 repositórios públicos foram atingidos em menos de uma hora, com pelo menos 83 investidas no total.

Como os invasores escondiam os comandos maliciosos?

Os comandos ficavam dentro de marcações de comentário HTML em issues, pull requests e comentários. Assim, não apareciam na página, mas eram lidos pelas automações que processam o texto bruto.

O que os mantenedores de projetos devem fazer?

Os pesquisadores recomendam tratar todo conteúdo externo como não confiável, restringir o acesso a segredos nos workflows e escrever as automações de forma que entradas de terceiros não alterem o comportamento delas.