प्रयोगकर्ताओं ने स्थापित किया है कि खतरनाक proof-of-concepts (PoCs) संभावित रूप से GitHub उपयोगकर्ताओं को मैलवेयर और अन्य दुर्व्यवहारों के लिए उजागर कर रहे हैं।
‘कैसे सुरक्षा पेशेवरों पर हमला किया जा रहा है, Github में गर्भाधान के कारनामों के शातिर सीवीई साक्ष्य का एक अध्ययन’ नामक एक पेपर में, नीदरलैंड में लीडेन विश्वविद्यालय के प्रयोगकर्ताओं ने हाल ही में विस्तार से बताया कि कैसे ज्ञात कमजोरियों के लिए हजारों पीओसी में खतरनाक मूल बातें शामिल हैं जो बिल से कहीं अधिक काम करती हैं।
एक अप्रभावी ऑपरेशन करने के बजाय, ये कारनामे अप्रत्यक्ष हमले का द्वार खोल सकते हैं।
गुणात्मक और मात्रात्मक
पलटन – सौफ़ियान एल यदमनी, रॉबिन द, और ओल्गा गड्यात्सकाया – ने 2017 और 2021 के बीच खोजे गए सीवीई के लिए गिटहब पर भाग लेने वाले गहन रूप से उपलब्ध पीओसी एकत्र किए।
कुल मिलाकर उन्होंने 47,313 डिपॉजिटरी का अध्ययन किया जिसमें लक्ष्य अवधि से कम से कम एक सीवीई के लिए पीओसी शामिल थे, जिसे उन्होंने “शातिर पीओसी का पहला बड़े पैमाने पर गुणात्मक और मात्रात्मक अधिग्रहण” कहा था।
उन्होंने स्थापित किया कि 47,313 GitHub डिपॉजिटरीज़ में से जिन्हें उन्होंने डाउनलोड किया था और जांचा था, 4,893(10.3) शातिर थे।
“हमारे अन्वेषण का उद्देश्य यह जांच करना था कि सीवीई कारनामों के लिए नकली और शातिर पीओसी की समस्या कितनी बड़ी है, क्योंकि यह हमारी समझ है कि यह एक ऐसी समस्या है जिसके बारे में पहले किसी ने नहीं सोचा था,” एल यदमनी ने द डेली स्विग को बताया .
एल यदमनी ने द डेली स्विग को बताया कि सबसे दिलचस्प खोज नकली और शातिर पीओसी में भिन्नता थी जिसका पलटन को सामना करना पड़ा।
उन्होंने कहा, “कुछ में बुशवॉकर्स ड्रगीज़ मशीनों पर मैलवेयर प्लांट करने की कोशिश कर रहे थे, जबकि अन्य में, उदाहरण के लिए, उन्होंने कोबाल्टस्ट्राइक का उपयोग करके पिछले दरवाजे खोलने की कोशिश की।”
एक्सप्लोरेशन पेपर (पीडीएफ) वेटर्स को शातिर कॉल के लिए स्रोत कानून का विश्लेषण करने के साथ-साथ हेक्साडेसिमल लोड और बेस 64-डिकोडेड स्क्रिप्ट को रूट करने के लिए शातिर पीओसी का पता लगाने के लिए सिफारिशें भी करता है, जिसमें शातिर निर्देश होते हैं, जो जानकारी को बाहर निकाल सकते हैं, डाउनलोड कर सकते हैं इंटरनेट से या पिछले दरवाजे से युक्त शातिर लाइनें ”।
“इसलिए हम एक ऐसा दृष्टिकोण पेश करना चाहते थे जो पीओसी में संदिग्ध गतिविधियों का स्वचालित रूप से पता लगाने में मदद करे। हम स्वचालित परिणामों का सुझाव देने में अतिरिक्त समय भी निवेश करना चाहते हैं जो शातिर पीओसी को चिह्नित करने में मदद कर सकते हैं।
“हमारा अन्वेषण अन्य प्रयोगकर्ताओं के लिए भी एक असाइनमेंट है, चाहे वह अकादमिक क्षेत्र में हो या (द) अस्मिता में, इस समस्या के परिणाम तैयार करने में अतिरिक्त समय लगाने के लिए। ”