Πάνω από 3,1 εκατομμύρια ψεύτικα αστέρια σε έργα GitHub

Το GitHub αντιμετωπίζει πρόβλημα με ψεύτικα “αστέρια” που χρησιμοποιούνται για να διογκώσουν τεχνητά τη δημοτικότητα των αποθετηρίων διανομής απάτης και κακόβουλου λογισμικού, βοηθώντας τα να προσεγγίσουν περισσότερους ανυποψίαστους χρήστες.

Δείτε επίσης: Ευπάθεια GitHub CLI RCE επιτρέπει εκτέλεση κακόβουλων εντολών

Τα αστέρια είναι παρόμοια με τα κουμπιά “Μου αρέσει” στους ιστότοπους κοινωνικής δικτύωσης, επιτρέποντας στους χρήστες του GitHub να αξιολογούν ένα αποθετήριο. Το GitHub χρησιμοποιεί τα αστέρια ως μέρος ενός παγκόσμιου συστήματος κατάταξης και για να σας δείξει σχετικό περιεχόμενο που πιστεύει ότι μπορεί να σας αρέσει.

Το πρόβλημα έχει τεκμηριωθεί στο παρελθόν, όπως το περασμένο καλοκαίρι όταν η Check Point αποκάλυψε μια υπηρεσία παράδοσης κακόβουλου λογισμικού με το όνομα «Stargazers Ghost Network», η οποία χρησιμοποιούσε ένα εκτεταμένο δίκτυο μη αυθεντικών χρηστών με πρωταγωνιστές πλαστά έργα για να προωθήσει κακόβουλο λογισμικό που κλέβει πληροφορίες.

Τα μη κακόβουλα έργα χρησιμοποιούν επίσης ψεύτικα αστέρια για να ενισχύσουν τη δημοτικότητά τους στο GitHub, να αυξήσουν την απήχησή τους και να προσελκύσουν τη νόμιμη προσοχή των χρηστών, πραγματικά αστέρια και υιοθεσία.

Μια νέα μελέτη που διεξήχθη από ερευνητές στο Socket, το Carnegie Mellon University και το North Carolina State University μας δίνει μια καλύτερη ιδέα για την κλίμακα του προβλήματος, βρίσκοντας 4,5 εκατομμύρια αστέρια στο GitHub, τα οποία υποπτεύονται ότι είναι ψεύτικα.

Δείτε ακόμα: Το GitHub λανσάρει Fund για τη βελτίωση της ασφάλειας έργων ανοιχτού κώδικα

Οι ερευνητές ανέπτυξαν και χρησιμοποίησαν ένα εργαλείο που ονομάζεται «StarScout» για να αναλύσουν 20 TB δεδομένων από το «GHAarchive» για να βρουν μη αυθεντικά αστέρια.

Το GHAarchive περιέχει μεταδεδομένα για πάνω από 6 δισεκατομμύρια συμβάντα GitHub από τον Ιούλιο του 2019 έως τον Οκτώβριο του 2024, συμπεριλαμβανομένων 60,5 εκατομμυρίων ενεργειών χρηστών σε 310 εκατομμύρια αποθετήρια και 610 εκατομμύρια αστέρια.

Το StarScout εντοπίζει χρήστες που εμφανίζουν ελάχιστη δραστηριότητα στο GitHub, όπως βάζοντας απλά αστέρια σε ένα μεμονωμένο αποθετήριο, παρουσιάζουν μοτίβα δραστηριότητας bot ή προσωρινών λογαριασμών και ομάδες λογαριασμών που ενεργούν συντονισμένα, όπως βάζοντας αστέρια στα ίδια αποθετήρια σε σύντομο χρονικό διάστημα.

Η μέθοδός τους βασίζεται στο CopyCatch, έναν αλγόριθμο που έχει σχεδιαστεί για να ανιχνεύει δόλια μοτίβα στα κοινωνικά δίκτυα. Μετά την επεξεργασία των δεδομένων με την εφαρμογή αλγορίθμων υπογραφής χαμηλής δραστηριότητας και lockstep για τον εντοπισμό ψεύτικων αστεριών στα αποθετήρια, η ομάδα βρήκε 4.530.000 ύποπτα μη αυθεντικά αστέρια που δόθηκαν από 1.320.000 λογαριασμούς σε 22.915 αποθετήρια GitHub.

Δείτε επίσης: Το phishing εργαλείο “GoIssue” στοχεύει χρήστες του GitHub

Τα έργα GitHub είναι ένας εξαιρετικός τρόπος συνερασίας για τους προγραμματιστές, ώστε να μοιράζονται κώδικα και να συνεισφέρουν σε λογισμικό ανοιχτού κώδικα. Επιτρέπουν στις ομάδες να οργανώνουν εργασίες, να παρακολουθούν την πρόοδο και να διαχειρίζονται αποτελεσματικά τα αποθετήρια τους. Αξιοποιώντας τις δυνατότητες ελέγχου έκδοσης του GitHub, οι προγραμματιστές μπορούν να εργαστούν στην ίδια βάση κώδικα ταυτόχρονα, να επιλύσουν διενέξεις και να διατηρήσουν ένα λεπτομερές ιστορικό αλλαγών. Επιπλέον τα εργαλεία που παρέχονται σττην πλατφόρμα, ενθαρρύνουν παραγωγικές συζητήσεις και επιτρέπουν απρόσκοπτες αξιολογήσεις κατά τη διαδικασία ανάπτυξης. Είτε για προσωπική χρήση είτε για ομαδική συνεργασία, τα έργα GitHub παρέχουν μια ισχυρή πλατφόρμα για την αποτελεσματική κατασκευή και συντήρηση λογισμικού.

Πηγή: bleepingcomputer