Repositórios open-source inundados por phishing

Foram detectados mais de 140 mil packages com phishing enviados para repositórios open-source como o NuGet, PyPi e NPM.

Estes pacotes contêm links que redireccionam os utilizadores para páginas que prometem códigos gratuitos, ofertas, descontos, geração de códigos de jogos, etc. Mas que na prática apenas tentavam obter dados das potenciais vítimas - com o processo a tentar obter as suas credenciais para "prosseguir com a oferta" - e que por fim até direccionava as pessoas para sites de vendas como o AliExpress, com referral codes a favor dos atacantes.

O NuGet foi o repositório mais visado, com mais de 136 mil packages detectadas, seguido do PyPi com quase 8 mil, enquanto o NPM teve apenas 212.

Não há vertente que fique a salvo de ataques. E neste caso, o facto de ter sido feito em tão larga escala, faz recear que este tipo de cenário se possa repetir com frequência no futuro, potencialmente utilizando técnicas mais difíceis de detectar, ou que injectem código malicioso nos programas que os utilizarem.