GitHub anunció el jueves que habilitará la protección de envío de escaneo secreto de forma predeterminada para todos los envíos a repositorios públicos.
«Esto significa que cuando se detecta un secreto admitido en cualquier envío a un repositorio público, tendrá la opción de eliminar el secreto de sus confirmaciones o, si considera que el secreto es seguro, evitar el bloqueo», Eric Tooley y Courtney Claessens dicho.
Protección contra empuje era primero pilotado como función de inclusión voluntaria en agosto de 2023, aunque ha estado en prueba desde abril de 2022. Estuvo disponible de forma generalizada en mayo de 2023.
El escaneo secreto La característica está diseñada para identificar más 200 tipos de tokens y patrones de más de 180 proveedores de servicios para evitar su uso fraudulento por parte de actores maliciosos.
El desarrollo se produce casi cinco meses después de que la filial de Microsoft ampliara el escaneo secreto para incluir comprobaciones de validez para servicios populares como Amazon Web Services (AWS), Microsoft, Google y Slack.
También sigue al descubrimiento de un ataque continuo de «confusión de repositorios» dirigido a GitHub que está inundando la plataforma de alojamiento de código fuente con miles de repositorios que contienen malware ofuscado capaz de robar contraseñas y criptomonedas de los dispositivos de los desarrolladores.
Los ataques representan otra ola de la misma campaña de distribución de malware que fue revelada por Phylum y Tendencia Micro el año pasado, aprovechando paquetes falsos de Python alojados en repositorios clonados y troyanizados para entregar un malware ladrón llamado Agarrador de gorra negra.
«Los ataques de confusión de repositorios simplemente dependen de que los humanos elijan por error la versión maliciosa en lugar de la real, a veces empleando también técnicas de ingeniería social», Apiiro dicho en un informe esta semana.