🔐Когда прописка в России спасает Специалисты StepSecurity обнаружили масштабную атаку на GitHub, в ходе которой злоумышленники взламывают аккаунты разработчиков и внедряют вредоносный код в Python-репозитории. Кампания, получившая название ForceMemo, стартовала 8 марта и продолжается до сих пор — под удар попали уже сотни проектов, включая Django-приложения, код для машинного обучения и даже пакеты, устанавливаемые через pip напрямую с GitHub. Механизм атаки оказался изощренным: сначала жертвы заражаются стилером GlassWorm через вредоносные расширения для VS Code и Cursor, который крадет GitHub-токены. Получив доступ к аккаунту, злоумышленник не создает новых коммитов, а аккуратно переписывает историю существующих. Он берет последний легитимный коммит, добавляет в конец одного из Python-файлов (setup.py, main.py, app.py) обфусцированный код и делает force-push в основную ветку. При этом автор коммита, его сообщение и дата полностью сохраняются, и лишь дата выдает подмену. В результате для внешнего наблюдателя репозиторий выглядит абсолютно нормально. Особенность кампании в том, что управление зараженными машинами происходит через блокчейн Solana. Встроенный в код вредонос обращается к конкретному кошельку, читает из памяти транзакций зашифрованные инструкции и получает оттуда адрес сервера с полезной нагрузкой. Такой подход делает C2-канал практически неблокируемым. Сама полезная нагрузка загружается и выполняется через Node.js, при этом система проверяет, не находится ли жертва в России. В этом случае атака прекращается, что характерно для многих киберпреступных группировок из Восточной Европы. На данный момент известно о взломе как минимум нескольких десятков аккаунтов, у некоторых скомпрометировано по 6 и более репозиториев. Разработчикам, которые используют прямые установки из GitHub или клонируют репозитории, стоит немедленно проверить свои системы на наличие маркерной переменной «lzcdrtfxyqiplpd» в пайтон-файлах, а также проверить историю коммитов на предмет несоответствия дат. Кампания активна, и список скомпрометированных репозиториев продолжает расти. @antiinfosec