Mới đây, hãng bảo mật McAfee đã công bố một báo cáo về trình tải phần mềm độc hại LUA mới được phân phối thông qua kho lưu trữ Microsoft GitHub hợp pháp cho Trình quản lý thư viện C++ cho Windows, Linux và MacOS, được gọi là vcpkg và thư viện STL.
Các URL của trình cài đặt phần mềm độc hại bao gồm:
https://github[.]com/microsoft/vcpkg/files/14125503/Cheat[.]Lab[.]2[.]7[.]2[.]zip
https://github[.]com/microsoft/STL/files/14432565/Cheater.Pro[.]1[.]6[.]0[.]zip
Cảm thấy kỳ lạ khi một kho lưu trữ của Microsoft lại phân phối phần mềm độc hại kể từ tháng 02/2024, trang BleepingComputer đã tiến hành phân tích và phát hiện ra rằng các tệp này không phải là một phần của vcpkg mà được tải lên (upload) như một phần của ghi chú để lại về một cam kết hoặc vấn đề trong dự án (project).
Khi để lại ghi chú, người dùng GitHub có thể đính kèm một tệp (kho lưu trữ, tài liệu,…), tệp này sẽ được tải lên CDN của GitHub và được liên kết với dự án liên quan bằng một URL duy nhất ở định dạng này như sau: https://www[.]github[.] com/{project_user}/{repo_name}/files/{file_id}/{file_name}. Đối với video và hình ảnh, các tệp tin sẽ được lưu trữ dưới dạng đường dẫn /assets/.
Thay vì tạo URL sau khi bình luận được đăng, GitHub sẽ tự động tạo liên kết tải xuống sau khi người dùng thêm tệp vào bình luận chưa được lưu, như hiển thị trong Hình 1. Điều này cho phép các tác nhân đe dọa đính kèm phần mềm độc hại vào bất kỳ kho lưu trữ nào.
.png)
Liên kết tải xuống được tạo tự động khi thêm tệp vào phần nhận xét
Ngay cả khi người dùng quyết định không đăng bình luận hoặc xóa đi sau khi được đăng, các tệp sẽ không bị xóa khỏi CDN của GitHub và các URL tải xuống vẫn tiếp tục hoạt động.
Vì URL của tệp chứa tên của kho lưu trữ mà ghi chú được tạo trong đó và vì hầu hết mọi công ty phần mềm đều sử dụng GitHub, nên lỗ hổng này có thể cho phép các tác nhân đe dọa phát triển những chiêu trò cực kỳ xảo quyệt để đánh lừa người dùng.
Ví dụ, kẻ tấn công có thể tải lên một phần mềm độc hại thực thi được trong kho trình cài đặt trình điều khiển của NVIDIA, mạo danh là trình điều khiển mới khắc phục sự cố trong một trò chơi phổ biến, hoặc kẻ tấn công có thể tải tệp trong ghi chú lên mã nguồn Google Chrome và mạo danh đó là phiên bản thử nghiệm mới của trình duyệt web. Những URL này dường như cũng thuộc về kho lưu trữ của công ty, khiến chúng trở nên đáng tin cậy hơn nhiều.
Hiện tại, GitHub đã xóa phần mềm độc hại được liên kết với kho lưu trữ của Microsoft.
Nguyễn Hữu Hưng
(Theo Bleepingcomputer)
10:00 | 07/06/2024
14:00 | 11/04/2024
16:00 | 06/08/2024
16:00 | 03/08/2023
14:00 | 26/03/2024
16:00 | 30/05/2024
08:00 | 22/07/2024
09:00 | 08/01/2025
Ngày 07/01, tại Hà Nội, Cục Viễn thông và Cơ yếu Bộ Công an tổ chức Hội nghị tổng kết công tác năm 2025 và triển khai chương trình công tác viễn thông, cơ yếu năm 2025. Trung tướng Lê Văn Tuyến, Thứ trưởng Bộ Công an và Thiếu tướng Nguyễn Hữu Hùng, Phó Trưởng ban Ban Cơ yếu Chính phủ dự và chỉ đạo Hội nghị.
10:00 | 09/12/2024
"Brain rot" (sự suy giảm khả năng tập trung, tư duy và trí tuệ) được dùng để bày tỏ lo ngại về hậu quả của việc lạm dụng quá nhiều nội dung trực tuyến có chất lượng kém, đặc biệt là trên mạng xã hội.
17:00 | 29/11/2024
Theo Tổ chức Thương mại thế giới (WTO), trí tuệ nhân tạo (AI) có thể giảm chi phí giao dịch, thay đổi ngành dịch vụ, thúc đẩy thương mại liên quan đến AI và định hình lại lợi thế cạnh tranh của các quốc gia.
09:00 | 14/11/2024
Các hình thức lừa đảo sử dụng cả tên miền trong nước và quốc tế đang có dấu hiệu gia tăng. Từ đầu năm 2024 đến nay có 12.838 tên miền được phát hiện sử dụng vào các hành vi phạm pháp, trong đó có 2.500 tên miền “.vn”, còn lại là tên miền quốc tế.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Sáng ngày 06/01, Đảng ủy Ban Cơ yếu Chính phủ tổ chức Hội nghị ra nghị quyết lãnh đạo thực hiện nhiệm vụ năm 2025. Đại tướng Nguyễn Tân Cương, Ủy viên Trung ương Đảng, Ủy viên Thường vụ Quân ủy Trung ương, Tổng Tham mưu trưởng Quân đội nhân dân Việt Nam, Thứ trưởng Bộ Quốc phòng dự và chỉ đạo Hội nghị. Thiếu tướng Nguyễn Đăng Lực, Bí thư Đảng ủy, Phó Trưởng ban Cơ yếu Chính phủ chủ trì Hội nghị.
13:00 | 06/01/2025
Ngày 07/01, tại Hà Nội, Cục Viễn thông và Cơ yếu Bộ Công an tổ chức Hội nghị tổng kết công tác năm 2025 và triển khai chương trình công tác viễn thông, cơ yếu năm 2025. Trung tướng Lê Văn Tuyến, Thứ trưởng Bộ Công an và Thiếu tướng Nguyễn Hữu Hùng, Phó Trưởng ban Ban Cơ yếu Chính phủ dự và chỉ đạo Hội nghị.
09:00 | 08/01/2025
Chỉ trong thời gian ngắn, Trung Quốc đã đạt được cột mốc ấn tượng với 1 tỷ thuê bao di động 5G, khẳng định tốc độ triển khai hạ tầng 5G hàng đầu thế giới.
10:00 | 31/12/2024
