يواجه GitHub مشكلة مع المنتجات غير الأصلية “stars” تُستخدم لتضخيم شعبية مستودعات توزيع الاحتيال والبرامج الضارة بشكل مصطنع، مما يساعدها على الوصول إلى المزيد من المستخدمين المطمئنين.
النجوم تشبه “Like” أزرار على مواقع التواصل الاجتماعي، مما يسمح لمستخدمي GitHub بوضع المستودع في المفضلة. يستخدم GitHub النجوم كجزء من نظام التصنيف العالمي ولإظهار المحتوى ذي الصلة الذي يعتقد أنه قد يعجبك.
“You can star repositories and topics to discover similar projects on GitHub. When you star repositories or topics, GitHub may recommend related content on your personal dashboard,” يشرح”https://docs.github.com/en/get-started/exploring-projects-on-github/saving-repositories-with-stars#about-stars” الهدف=”_blank” rel=”nofollow noopener”> جيثب.
تم توثيق المشكلة سابقًا، مثل الصيف الماضي عندما كشفت Check Point عن خدمة توصيل برامج ضارة تسمى “””https://www.bleepingcomputer.com/news/security/over-3-000-github-accounts-used-by-malware-distribution-service/” الهدف=”_blank” rel=”nofollow noopener”> شبكة أشباح مراقبي النجوم”، والتي استخدمت شبكة واسعة من المستخدمين غير الحقيقيين الذين يقومون ببطولات مشاريع مزيفة لدفع البرامج الضارة التي تسرق المعلومات.
تستخدم المشاريع غير الضارة أيضًا نجومًا مزيفة لتعزيز شعبيتها وزيادة مدى وصولها وجذب انتباه المستخدمين الشرعيين والنجوم الحقيقية والتبني.
أ”https://arxiv.org/pdf/2412.13459″ الهدف=”_blank” rel=”nofollow noopener”> دراسة جديدة التي أجراها باحثون في سوكيت وجامعة كارنيجي ميلون وجامعة ولاية كارولينا الشمالية تعطينا فكرة أفضل عن حجم المشكلة، حيث وجدنا 4.5 مليون نجم على GitHub، والتي يشتبه في أنها مزيفة.
المصدر: Arxiv.org
البحث عن نجوم وهمية
قام الباحثون بتطوير واستخدام أداة تسمى “StarScout” لتحليل 20 تيرابايت من البيانات من “GHArchive” للعثور على نجوم زائفة.
يحتوي GHArchive على بيانات وصفية لأكثر من 6 مليارات حدث GitHub من يوليو 2019 إلى أكتوبر 2024، بما في ذلك 60.5 مليون إجراء مستخدم على 310 مليون مستودع و610 مليون نجم.
يكتشف StarScout المستخدمين الذين يظهرون الحد الأدنى من النشاط على GitHub، مثل تمييز مستودع واحد بنجمة، أو لديهم أنماط نشاط حساب تلقائي أو مؤقت، ومجموعات حسابات تعمل بالتنسيق، مثل تمييز نفس المستودعات بنجمة خلال فترة زمنية قصيرة.
تعتمد طريقتهم على CopyCatch، وهي خوارزمية مصممة لاكتشاف الأنماط الاحتيالية في الشبكات الاجتماعية.
المصدر: Arxiv.org
4.5 مليون نجم يشتبه في أنها مزيفة
بعد معالجة البيانات من خلال تطبيق خوارزميات النشاط المنخفض والتوقيع المتكامل لتحديد النجوم المشبوهة عبر المستودعات، وجد الفريق 4,530,000 نجمًا غير حقيقي مشتبه به مقدمًا من 1,320,000 حساب عبر 22,915 مستودعًا.
ولزيادة الثقة في الطبيعة الحقيقية لهذه النجوم، قام الباحثون بتصفية النتائج الإيجابية الكاذبة المحتملة من خلال النظر فقط في المستودعات التي تحتوي على ارتفاع شاذ كبير في نشاط النجوم في شهر واحد، والتي بلغت نسبة التزييف فيها أكثر من 10٪، مقارنة بـ العدد الإجمالي للنجوم.
أدى هذا إلى خفض النتيجة إلى 3,100,000 نجمة مزيفة مقدمة من 278,000 حساب إلى 15,835 مستودعًا.
المصدر: Arxiv.org
ومن بين هذه المستودعات، تم حذف ما يقرب من 91% من المستودعات و62% من الحسابات غير الحقيقية المشتبه بها اعتبارًا من أكتوبر 2024، مما يدعم دقة أداة StarScout.
وتُظهر الدراسة أيضًا أن نشاط النجوم الوهمية ارتفع في عام 2024، حيث كان ما يقرب من 15.8% من المستودعات التي تحتوي على أكثر من 50 نجمة في يوليو 2024 متورطة في هذه الحملات الضارة.
أبلغ الباحثون عن المستودعات والحسابات التي حددها StarScout على أنها غير أصلية في يوليو 2024، وقام GitHub بإزالتها جميعًا. ومع ذلك، فإنهم ما زالوا في طور التقييم والإبلاغ عن المجموعات الإضافية التي تم العثور عليها في نوفمبر 2024.
المصدر: Arxiv.org
وتتعدد آثار النجوم الوهمية على GitHub ومستخدميها، لكن بشكل عام تؤدي المشكلة إلى تآكل الثقة في المنصة والمشاريع البرمجية المختلفة المستضافة عليها.
يجب على المستخدمين الاطلاع على النجوم السابقة، وتقييم نشاط المستودع وجودته، وقراءة الوثائق، وفحص المحتوى والمساهمات، ومراجعة الكود إن أمكن.
مستودعات GitHub الخادعة هي”https://www.bleepingcomputer.com/news/security/thousands-of-github-repositories-deliver-fake-poc-exploits-with-malware/” الهدف=”_blank” rel=”nofollow noopener”> على نطاق واسع، وكانت المنصة كذلك”https://www.bleepingcomputer.com/news/security/fake-password-manager-coding-test-used-to-hack-python-developers/” الهدف=”_blank” rel=”nofollow noopener”> مستغلة في العمليات التي ترعاها الدولة، لذا توخي الحذر عند تنزيل البرامج منها.
اتصلت BleepingComputer بـ GitHub لمعرفة المزيد حول كيفية محاربة المنصة لمشكلة النجوم المزيفة، لكننا ما زلنا ننتظر ردهم.