ForceMemo die Kampagne, die die Geschichte von GitHub stiehlt Token und verbreitet Malware durch Python Pakete

Vor ein paar Monaten begann die Entwicklergemeinschaft etwas störendes zu bemerken: Pakete und Projekte in GitHub, die, ohne sichtbare Veränderungen, waren mit schädlichen Codefragmenten. Die Forschung hat eine anspruchsvolle Kampagne, die bekannte Techniken der GlassWorm-Gruppe, aber jetzt arbeitet mit einer Variante konzentriert auf die Zwingung der Repository-Geschichte, um böswillige Nutzlasten in Python-Projekte einzufügen. Technische Berichte von Forschungsteams SchrittSicherheit und ergänzende Analyse von Gruppen wie Sockel zeichnen Sie ein besorgniserregendes Bild für die Integrität der Open Source.

Der Anfangsvektor dieser Operation ist kein direkter Angriff auf GitHub, sondern die Infiltration von Entwicklungsumgebungen. Mit böswilligen Erweiterungen für Editoren wie VS Code und selbstvervollständigte Tools wird eine Komponente installiert, die Anmeldeinformationen sucht und ausfiltert: GitHub-Tokens, die es ihnen erlauben, als wären sie die Entwickler selbst. Mit diesen Anmeldeinformationen entfernt der Schauspieler normale Arbeitsablaufsperren. Anstatt eine Pull-Anforderung zu erstellen oder einen sichtbaren Commit hinzuzufügen, schreibt die Intrusion die Geschichte des Repositorys mittels einer Rebase und einer Force-Push, so dass die Metadaten - der Autor, das Datum und die Botschaft des Commits - echt wirken und es keine offensichtliche Spur auf der öffentlichen Schnittstelle gibt.

Sobald die Tür geöffnet ist, suchen Angreifer nach bestimmten Dateien, die normalerweise in Python-Projekten ausgeführt oder verpackt werden - häufige Namen wie Setup.py, Hauptsache. oder App.py- und am Ende der Datei eine in Base64 kodierte injizierte Ladung hinzufügen. Dieser osfuscierte Code ist kein einfaches Skript: Es enthält Überprüfungen, um Umgebungen zu erkennen, die russischen Standort verwenden und, wenn diese Konfiguration erkannt wird, verhindert, dass ausgeführt wird, eine regelmäßige Technik, um Analyse in bestimmten Gerichtsbarkeiten zu vermeiden. In jedem anderen Fall dekodiert das Fragment Anweisungen, die auf eine Adresse im Solana-Netzwerk zeigen; das Memo-Feld einer Transaktion fungiert als Kanal für den Angreifer, um die URL dynamisch zu aktualisieren, von der Malware zusätzliche Komponenten herunterladen wird, einschließlich JavaScript verschlüsselt, um Kryptomonedas und Daten aus dem infizierten System zu entfernen.

Die von den Forschern gemeldete Chronologie zeigt, dass die Kontrollinfrastruktur monatelang vor dem Erkennen der ersten Repository-Einfügungen betrieben wurde. Die Aufzeichnungen in der Block-Kette zeigen Transaktionen in dieser Richtung von Solana aus dem Ende November 2025, während die ersten Injektionen in GitHub vom 8. März 2026 identifiziert wurden. Darüber hinaus zeigt das Betriebsmuster, dass der Schauspieler oft die URL der Nutzlast ändert, die die Verteidigung kompliziert, wenn nur eine bestimmte Adresse blockiert ist.

Was diese Variante einzigartig macht - von einigen Forschern wie ForceMemo benannt - ist die Kombination von mehreren Techniken: mit böswilligen Erweiterungen, um Geheimnisse zu stehlen, Nutzung gültiger Token, um die Git-Geschichte neu zu schreiben, indem legitime Metadaten zu bewahren, und die Block-Kette als Befehls- und Kontrollkanal zu verwenden. Socket hat auch darauf hingewiesen, dass die Kampagne seine Überlebenskapazität durch die Verteilung von Malware Transitory durch Erweiterung Paket Metadaten verbessert, d.h., indem Sie auf Verpackungsmechanismen und Abhängigkeiten, um die bösartige Belastung durch das Erweiterungs-Ökosystem zu verbreiten.

Für diejenigen, die Software offen halten oder von Drittanbieter-Buchhandlungen abhängen, sind die Implikationen klar: ein infizierter Entwickler kann, ohne offensichtliche Spuren zu hinterlassen, schädlichen Code auf Projekte verbreiten, die von Tausenden von Benutzern verbraucht. Jede Operation, die eine pip install aus einem kompromittierten Repository oder diesem Klon und Code ohne ordnungsgemäße Kontrollen ausführen kann Malware-Ausführung auslösen. Angesichts dieses Risikos erholen sich die guten Sicherheitspraktiken von GitHub - wie z.B. Tokens Rotation, Application Review und Multi-Faktor-Authentifizierungs-Aktivierung - all seinen Wert; GitHub hält nützliche Dokumentation über die Verwaltung und den Schutz persönlicher Token auf seiner Plattform auf ihre offiziellen Führer.

Darüber hinaus sollte die Vorbeugung auf der Repository-Ebene Politiken umfassen, die es für einen unbefugten Kraftschub schwierig machen. Der Schutz von Zweigen, obligatorischen Code-Reviews und kontinuierlichen Integrationsflüssen, die die Integrität der Geschichte und die Unterschrift des Commits validieren, sind wirksame Barrieren, um unerwünschte Veränderungen zu erkennen; GitHub bietet Anleitung zur Einrichtung geschützter Zweige in Ihre Dokumentation. Im Bereich der Python-Verpackung ist zu vermuten, dass die direkt ausgeführten heruntergeladenen Skripte von unified Repositories Risiken beinhalten; die Community und PyPI haben die Sicherheitspraktiken gestärkt, die bei PyPI Richtlinien.

Wenn Ihre Organisation Python-Pakete entwickelt oder verbraucht, ist es angebracht, Token und aktive Sitzungen im Zusammenhang mit Wartungskonten zu überprüfen, die jüngsten Verpflichtungen auf der Suche nach verdächtigen Einfügungen und Regeln, die verhindern, dass die Geschichte der Hauptbranche ohne weitere Änderungen neu geschrieben. Zu den reaktiven Maßnahmen gehören die Wiederbelebung von engagierten Anmeldeinformationen, die Verdrehung von Token und die forensische Analyse von Entwicklungsumgebungen, um atypische Erweiterungen oder Prozesse zu erkennen. Auch bei laufenden technischen Kontrollen bleibt das Bewusstsein des Teams - nicht zu öffnen Erweiterungen des zweifelhaften Ursprungs, um den Ruf der Pakete zu überprüfen und blinden Code zu vermeiden - eine wesentliche Verteidigung.

Auf einer breiteren Ebene unterstreicht ForceMemo etwas, das die Softwaresicherheit seit Jahren warnt: Die Software-Versorgungskette ist so schwach wie ihre verletzlichste Verbindung. Ein einzelner Entwickler mit der kompromittierten Umgebung kann ein zuverlässiges Projekt in einen verteilten Angriffsvektor verwandeln. Die Gemeinschaft muss technische Kontrollen kombinieren - Branchenschutz, Audit, automatische Repository Scannen - mit organisatorischen Prozessen, die die Exposition von Geheimnissen reduzieren und die Früherkennung verbessern.

Für neugierige Personen, die technische Erkenntnisse vertiefen möchten, werden die von den Antwort- und Detektionsteams veröffentlichten Analysen empfohlen: StepSecurity's Bericht über diese Kampagne ist auf Ihr Blog, und Sockets Arbeit, die die Durchfuhrverteilung durch Erweiterungen beschreibt, können bei Ihr technischer Artikel. Die Information und Umsetzung präventiver Kontrollen ist heute mehr denn je das beste Instrument, um Projekte und Nutzer vor Kampagnen zu schützen, die Social Engineering, Missbrauch von Plattformen und zunehmend reifer von Nutzungstechniken kombinieren.