Исследователи безопасности из компании Apiiro выявили активность злоумышленников, размещающих на GitHub модифицированные клоны репозиториев различных проектов, в которые вносятся небольшие изменения, нацеленные на совершение вредоносных действий. Как правило, вредоносный репозиторий создаётся с тем же именем, но прикреплённым к другой организации ("github.org/org1/proj" -> "github.org/org2/proj"), или с немного отличающимся от оригинала именем (тайпсквотинг), с расчётом, что жертва не заметит отличий и воспользуется кодом с вредоносными изменениями. Для завлечения пользователей ссылки на вредоносные репозитории активно размещаются в различных социальных сетях, форумах и чатах.

Сообщается о выявлении более 100 тысяч подобных репозиториев, но по предположению исследователей общее число размещённых репозиториев с вредоносными изменениями может исчисляться миллионами, так как подавляющая часть автоматически созданных репозиториев удаляется силами GitHub через несколько часов после их размещения. Среди масок, которые можно использовать для определения наличия вредоносных вставок в загруженных репозиториях, упоминаются:

    exec(Fernet
    exec(requests
    exec(__import
    exec(bytes
    exec(“””\nimport
    exec(compile
    __import__(“builtins”).exec(

Прикрепляемый вредоносный код представляет собой модифицированную версию BlackCap-Grabber, после запуска осуществляющую поиск конфиденциальных данных, таких как параметры учётных записей, токены, сохранённые в браузере пароли и Cookie, и выполняющую их отправку на сервер атакующих. Вредоносный код также поддерживает подмену адресов криптовалют, передаваемых через буфер обмена, может создавать скриншоты и принимать команды от управляющего сервера (C&C).