Поддельный заказ и git-хук: как пытались выкрасть чужие доступы

Фрэнк Уайлз — основатель компании REVSYS, член руководящего совета Django и заметная фигура сообщества Python — описал попытку целенаправленной атаки. Злоумышленники стремились выполнить произвольный код на его ноутбуке, судя по всему, чтобы добраться до учётной записи GitHub и доступов, которые у него есть к инфраструктуре клиентов REVSYS.

Правдоподобное начало

Всё выглядело как обычный запрос на разработку: некто интересовался веб-приложением в сфере образовательных технологий — направлении, с которым REVSYS работает регулярно. Уайлз предложил созвониться и прислал ссылку на Calendly. В ответ его попросили заранее ознакомиться с описанием проекта и подписать NDA.

Затем «заказчик» поделился папкой в Dropbox с несколькими каталогами Markdown-файлов. Техническое задание было расплывчатым, но достаточно проработанным, чтобы сойти за описание MVP. Поначалу Уайлз не заметил внутри скрытую папку .git.

Переключитесь на ветку NDA

Не найдя соглашения о неразглашении, он попросил прислать документ. Ему ответили, что NDA лежит в отдельной ветке — достаточно переключиться на неё, заполнить и вернуть перед встречей. Именно в этот момент всё стало ясно.

Уайлз заглянул в .git/hooks. Там лежали стандартные примеры хуков с расширением .example — и один настоящий, работающий post-checkout. Этот хук срабатывает при переключении веток, и в реальной практике им почти никто не пользуется, что и выдало замысел.

Что делал хук

Осторожно изучив скрипт, Уайлз обнаружил классическую схему. Хук обращался к приложению на Vercel, игравшему роль сервера управления, скачивал бинарный файл под нужную операционную систему, делал его исполняемым, запускал — и после этого удалял сам себя.

Уайлз сообщил о случившемся командам безопасности Dropbox и Vercel в надежде, что аккаунты заблокируют прежде, чем на уловку попадётся кто-то ещё. Он отметил, что мошенники вдобавок выдавали себя за ничего не подозревающего владельца другой студии разработки.

Главный вывод автора прост и тревожен: его самого обмануть не удалось, но на подобное легко попасться. Git — часть повседневного рабочего процесса, и именно эта привычность делает атаку опасной. Он призывает коллег быть бдительнее и беречь свои доступы.

Источник: Lobsters