{"id":23487,"date":"2025-03-25T09:19:18","date_gmt":"2025-03-25T12:19:18","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=23487"},"modified":"2025-03-25T09:19:18","modified_gmt":"2025-03-25T12:19:18","slug":"malicious-code-in-github","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/malicious-code-in-github\/23487\/","title":{"rendered":"C\u00f3digo malicioso no GitHub: como os hackers atacam programadores"},"content":{"rendered":"<p>Voc\u00ea consegue imaginar um mundo em que sempre que quisesse ir a algum lugar, voc\u00ea tivesse que reinventar a roda e construir uma bicicleta do zero? Tamb\u00e9m n\u00e3o conseguimos. Por que reinventar algo que j\u00e1 existe e funciona perfeitamente? Podemos aplicar a mesma l\u00f3gica \u00e0 programa\u00e7\u00e3o: desenvolvedores lidam diariamente com tarefas rotineiras e, em vez de inventar suas pr\u00f3prias rodas e bicicletas (que podem n\u00e3o ser t\u00e3o boas), pegam c\u00f3digos de <span style=\"text-decoration: line-through\">bicicletas<\/span> j\u00e1 prontos dos reposit\u00f3rios de c\u00f3digo aberto do GitHub.<\/p>\n<p>Esta solu\u00e7\u00e3o est\u00e1 dispon\u00edvel para todos, incluindo criminosos que usam os <em>melhores c\u00f3digos-fonte abertos do mundo<\/em> como iscas para seus ataques. H\u00e1 muitas evid\u00eancias que comprovam isso. A mais recente delas \u00e9 que nossos especialistas descobriram uma campanha maliciosa ativa, a GitVenom, que tem como alvo os usu\u00e1rios do GitHub.<\/p>\n<h2><strong>O que \u00e9 a GitVenom?<\/strong><\/h2>\n<p>GitVenom \u00e9 o nome que damos a esta campanha maliciosa, na qual agentes desconhecidos criaram mais de 200 reposit\u00f3rios contendo projetos falsos com c\u00f3digo malicioso: bots do Telegram, ferramentas para hackear o jogo Valorant, utilit\u00e1rios de automa\u00e7\u00e3o do Instagram e gerenciadores de carteiras de Bitcoin. \u00c0 primeira vista, todos os reposit\u00f3rios pareciam leg\u00edtimos. Particularmente not\u00e1vel \u00e9 o bem projetado arquivo README.MD (um guia sobre como trabalhar com o c\u00f3digo) com instru\u00e7\u00f5es detalhadas em v\u00e1rios idiomas. Al\u00e9m disso, os invasores adicionaram diversas tags aos pr\u00f3prios reposit\u00f3rios.<\/p>\n<div id=\"attachment_23490\" style=\"width: 1034px\" class=\"wp-caption aligncenter\"><a href=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/94\/2025\/03\/25075228\/malicious-code-in-github-01.png\"><img decoding=\"async\" aria-describedby=\"caption-attachment-23490\" class=\"wp-image-23490 size-large\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/94\/2025\/03\/25075228\/malicious-code-in-github-01-1024x871.png\" alt=\"Os invasores usaram IA para escrever instru\u00e7\u00f5es detalhadas em v\u00e1rios idiomas \" width=\"1024\" height=\"871\"><\/a><p id=\"caption-attachment-23490\" class=\"wp-caption-text\">Os invasores usaram IA para escrever instru\u00e7\u00f5es detalhadas em v\u00e1rios idiomas<\/p><\/div>\n<p>A grande quantidade de commits que esses reposit\u00f3rios possuem \u00e9 outro indicador que refor\u00e7a a aparente legitimidade. Os reposit\u00f3rios dos invasores possuem v\u00e1rios, talvez milhares, de commits. E, certamente, os invasores n\u00e3o estavam atualizando manualmente cada um dos 200 reposit\u00f3rios para que permanecem aut\u00eanticos. Eles usavam arquivos de registro de data e hora que eram atualizados frequentemente. A combina\u00e7\u00e3o de uma documenta\u00e7\u00e3o detalhada com v\u00e1rios commits gerou a ilus\u00e3o de que o c\u00f3digo era genu\u00edno e seguro.<\/p>\n<h2><strong>GitVenom: Dois anos de atividade<\/strong><\/h2>\n<p>A campanha come\u00e7ou h\u00e1 cerca de dois anos, que \u00e9 a data do reposit\u00f3rio falso mais antigo que encontramos. Durante este tempo, a GitVenom afetou desenvolvedores na R\u00fassia, Brasil, Turquia e outros pa\u00edses. Os atacantes exploraram uma grande variedade de linguagens de programa\u00e7\u00e3o, por exemplo, encontramos c\u00f3digos maliciosos em Python, JavaScript, C, C# e C++.<\/p>\n<p>Em rela\u00e7\u00e3o \u00e0 funcionalidade desses projetos, os recursos descritos no arquivo README n\u00e3o correspondiam ao c\u00f3digo real, na verdade, ele n\u00e3o fazia metade do que afirmava. Mas foi \u201cgra\u00e7as\u201d a isso que as v\u00edtimas acabaram baixando os componentes maliciosos. Estes incluem:<\/p>\n<ul>\n<li>Um <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/trojan-psw-psw-password-stealing-ware\/\" target=\"_blank\" rel=\"noopener\"><strong>stealer<\/strong><\/a><strong> em Node.js<\/strong> que coleta nomes de usu\u00e1rios e senhas, dados de carteiras de criptomoedas e hist\u00f3rico do navegador. Al\u00e9m disso, \u00e9 capaz de empacotar os dados roubados em um arquivo .7z e envi\u00e1-lo aos invasores usando o Telegram.<\/li>\n<li>O <strong>AsyncRAT<\/strong> \u00e9 um <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/remote-access-trojan-rat\/\" target=\"_blank\" rel=\"noopener\">Trojan de administra\u00e7\u00e3o remota<\/a> de c\u00f3digo aberto que tamb\u00e9m \u00e9 capaz de atuar como keylogger.<\/li>\n<li>O <strong>Quasar<\/strong> \u00e9 um <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/backdoor\/\" target=\"_blank\" rel=\"noopener\">backdoor<\/a> de c\u00f3digo aberto.<\/li>\n<li><strong>Um clipper<\/strong> que procura endere\u00e7os de carteiras de criptomoedas na \u00e1rea de transfer\u00eancia e os substitui por endere\u00e7os controlados pelos atacantes. Curiosamente, em novembro de 2024, a carteira do hacker que foi usada neste ataque recebeu um dep\u00f3sito de aproximadamente 5 BTC (o equivalente a US$ 392 mil).<\/li>\n<\/ul>\n<p>Leia mais sobre essa campanha maliciosa na nossa <a href=\"https:\/\/securelist.com\/gitvenom-campaign\/115694\/\" target=\"_blank\" rel=\"nofollow noopener\">pesquisa completa<\/a>, que foi publicada no SecureList.<\/p>\n<h2><strong>Como se proteger de c\u00f3digos maliciosos no GitHub<\/strong><\/h2>\n<p>Resumidamente, a melhor defesa \u00e9 estar atento. Considerando que <a href=\"https:\/\/github.blog\/news-insights\/company-news\/100-million-developers-and-counting\/\" target=\"_blank\" rel=\"nofollow noopener\">mais de 100 milh\u00f5es de desenvolvedores usam o GitHub<\/a>, \u00e9 bastante prov\u00e1vel que os invasores continuem inserindo c\u00f3digos maliciosos por meio dessa plataforma popular. A \u00fanica quest\u00e3o \u00e9 como eles far\u00e3o isso. H\u00e1 uma d\u00e9cada, era inimagin\u00e1vel que campanhas como a GitVenom pudessem durar tanto tempo e ser t\u00e3o persistentes. Portanto, todos os desenvolvedores devem se preocupar com suas boas pr\u00e1ticas de seguran\u00e7a cibern\u00e9tica ao usar o GitHub.<\/p>\n<ul>\n<li><strong>Analise o c\u00f3digo antes<\/strong> de integr\u00e1-lo a um projeto existente.<\/li>\n<li><strong>Use <a href=\"https:\/\/www.kaspersky.com.br\/premium?icid=br_bb2022-kdplacehd_acq_ona_smm__onl_b2c_kdaily_lnk_sm-team___kprem___\" target=\"_blank\" rel=\"noopener\">prote\u00e7\u00e3o contra malwares<\/a> <\/strong>em computadores e em smartphones.<\/li>\n<li><strong>Verifique cuidadosamente indicadores menos \u00f3bvios<\/strong>, como contas dos colaboradores, n\u00famero de estrelas (curtidas) e data de cria\u00e7\u00e3o do projeto. Se a conta foi criada h\u00e1 tr\u00eas dias, o reposit\u00f3rio h\u00e1 dois dias e ele tem apenas uma estrela, h\u00e1 uma boa chance de o projeto ser falso e o c\u00f3digo ser malicioso.<\/li>\n<li><strong>N\u00e3o baixe arquivos de links diretos para o GitHub<\/strong> compartilhados em chats, canais suspeitos ou em sites n\u00e3o verificados.<\/li>\n<li><strong>Se voc\u00ea encontrar um reposit\u00f3rio suspeito,<\/strong> <a href=\"https:\/\/docs.github.com\/pt\/communities\/maintaining-your-safety-on-github\/reporting-abuse-or-spam\" target=\"_blank\" rel=\"nofollow noopener\"><strong>denuncie-o ao GitHub.<\/strong><\/a> Isso pode salvar dispositivos de outras pessoas que n\u00e3o possuem uma <strong><a href=\"https:\/\/www.kaspersky.com.br\/premium?icid=br_bb2022-kdplacehd_acq_ona_smm__onl_b2c_kdaily_lnk_sm-team___kprem___\" target=\"_blank\" rel=\"noopener\">solu\u00e7\u00e3o de seguran\u00e7a confi\u00e1vel<\/a><\/strong>.<\/li>\n<\/ul>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"premium-geek\">\n","protected":false},"excerpt":{"rendered":"<p>Descobrimos mais de 200 reposit\u00f3rios com projetos falsos no GitHub. Usando esses reposit\u00f3rios, os invasores distribuem malwares como stealers, clippers e backdoors.<\/p>\n","protected":false},"author":312,"featured_media":23495,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1260],"tags":[2114,1288,1952,35],"class_list":{"0":"post-23487","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"tag-codigo-aberto","9":"tag-criptomoedas","10":"tag-github","11":"tag-malware-2"},"hreflang":[{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/malicious-code-in-github\/23487\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/malicious-code-in-github\/28617\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/malicious-code-in-github\/23858\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/malicious-code-in-github\/12298\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/malicious-code-in-github\/28736\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/malicious-code-in-github\/27971\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/malicious-code-in-github\/30789\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/malicious-code-in-github\/29483\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/malicious-code-in-github\/39126\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/malicious-code-in-github\/13184\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/malicious-code-in-github\/53085\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/malicious-code-in-github\/22611\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/malicious-code-in-github\/31976\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/malicious-code-in-github\/28856\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/malicious-code-in-github\/34685\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/malicious-code-in-github\/34316\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.com.br\/blog\/tag\/github\/","name":"github"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/23487","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/users\/312"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/comments?post=23487"}],"version-history":[{"count":12,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/23487\/revisions"}],"predecessor-version":[{"id":23501,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/23487\/revisions\/23501"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media\/23495"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media?parent=23487"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/categories?post=23487"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/tags?post=23487"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}