GitHub является на сегодняшний день самой популярной платформой для хостинга кода. Его используют профессиональные программисты, энтузиасты и даже исследователи безопасности. И хотя платформа уделяет большое внимание всякому коду, размещенному на ней, стоит быть очень осторожным, когда вы что-то скачиваете оттуда.
Изучая репозитории GitHub, Лейденский институт компьютерных наук обнаружил множество поддельных файлов с интегрированными в них вредоносными программами.
Например, в представленном исследователями отчете говорится, что 10% всех PoC файлов (т.н. файлы проверки исправления уязвимости), размещенных на GitHub, представляют собой вредоносное ПО.
Чтобы сделать данное заключение институт проанализировал более 47 000 репозиториев на GitHub. И оказалось, что под видом файлов для проверки, распространяются тысячи вредоносных программ. К примеру, вы можете вместо PoC загрузить троян Houdini RAT. Хорошо замаскированная под обычный скрипт Python, эта вредоносная программа на JavaScript дает возможность злоумышленникам вводить команды в CMD.
Так что если вы что-то загружаете с GitHub, то сначала проанализируйте эти файлы хотя бы с помощью VirusTotal, а уже потом используйте. Нет ни одной причины слепо доверять чему-либо с GitHub!