Mehr als 3,1 Millionen gefälschte „Stars“ auf GitHub zur Steigerung der Popularität: GitHub hat ein Problem mit unechten, gefälschten „Stars“, die dazu verwendet werden, die Popularität, die Reichweite und das Ranking von Betrugs- und Malware-Verbreitungs-Repositories künstlich zu steigern und ihnen dabei zu helfen, mehr ahnungslose Benutzer zu erreichen. Das Problem wurde bereits im Sommer 2024 dokumentiert, als Check Point einen Malware-Lieferdienst namens „Stargazers Ghost Network“ entdeckte, der ein ausgedehntes Netzwerk unechter Benutzer mit gefälschten Projekten nutzte, um informationsstehlende Malware zu verbreiten. Auch nicht-böswillige, legitime Projekte nutzen Fake-Stars, um ihre Popularität, Reichweite und Akzeptanz zu steigern.

Was sind GitHub „Stars“?

„Stars“ (z. Dt. Sterne) ähneln „Gefällt mir“-Buttons auf Social-Media-Plattformen und ermöglichen es GitHub-Benutzern, ein Repository als Favorit zu kennzeichnen. Die Anzahl der „Stars“ sind ein starker Indikator und Taktgeber für die Reichweite und das Ranking eines Repositories auf GitHub. Mithilfe von „Stars“ werden Nutzern aber auch ähnliche Inhalte angezeigt, wenn du ein Repository oder Thema mit einem „Star“ markierst, um ähnliche Projekte auf GitHub zu entdecken.

Eine neue Studie, die von Forschern von Socket, der Carnegie Mellon University und der North Carolina State University durchgeführt wurde, klärt über das Ausmaß des Problems auf und fand 4,5 Millionen Stars auf GitHub, bei denen der Verdacht besteht, dass sie gefälscht sind.

Nach der Verarbeitung der Daten mithilfe von Low-Activity- und Lockstep-Signaturalgorithmen zur Identifizierung verdächtiger Stars in allen Repositories fand das Forscher-Team 4.530.000 mutmaßlich unechte Stars, die von 1.320.000 Konten in 22.915 Repositories stammen. Anschliessend wurden Fehlalarme herausgefiltert. Das bereinigte Ergebnis kommt auf 3.100.000 gefälschte Stars, die von 278.000 Konten auf 15.835 Repositories vergeben wurden.

Im Oktober 2024 wurden ca. 91 % der Repositories und 62 % der mutmaßlich unauthentischen Konten gelöscht. Derzeit werden weitere im November 2024 gefundene Cluster bewertet, um auch diese ggf. zu melden bzw. zu entfernen.

Viel Fake, wenig Substanz? Was GitHub-Benutzer jetzt tun sollten

Die Auswirkungen gefälschter Stars bzw. Sterne auf GitHub und seine Benutzer sind vielfältig, aber im Allgemeinen untergräbt das Problem das Vertrauen in die Plattform und die verschiedenen darauf gehosteten Softwareprojekte.

Benutzer sollten über die Anzahl der Stars hinwegschauen, die Repository-Aktivität und -Qualität bewerten, die Dokumentation lesen, den Inhalt, die Beiträge und nach Möglichkeit auch den Code genau prüfen.

Betrügerische GitHub-Repositories sind weit verbreitet und die Plattform wurde sogar für staatlich geförderte Operationen ausgenutzt. Sei deshalb vorsichtig, wenn du Software bei GitHub herunterlädst!

Quelle: bleepingcomputer.com