Uma das formas de verificar a popularidade de um projeto no Github parte por analisar as estrelas que o mesmo possui, que normalmente são dadas por utilizadores que consideram o projeto interessante.
No entanto, a plataforma mais usada por programadores tem vindo a verificar um problema sobre este sistema, que está também a causar algumas dores de cabeça para programadores e interessados.
As estrelas são o equivalente a um “gosto”, e normalmente demonstram a popularidade de um projeto dentro da plataforma. Ao mesmo tempo podem ajudar os utilizadores a receberem recomendações personalizadas para outros projetos que podem ser do seu interesse.
No entanto, este sistema possui as suas falhas, e recentemente foi documentado a forma como as estrelas dos projetos no GitHub podem ser usadas para enganar os utilizadores, levando-os para recomendações potencialmente maliciosas.
Um recente estudo realizado por investigadores da Socket, Carnegie Mellon University, e North Carolina State University aponta que existem quase 4.5 milhões de estrelas de projetos no GitHub que foram obtidas de forma inorgânica, através de redes de botnet e contas falsas.
Os investigadores realizaram a sua análise através da plataforma GHArchive, que conta com mais de 6 mil milhões de interações feitas no GitHub entre Julho de 2019 e Outubro de 2024, o que inclui mais de 60.5 milhões de ações dos utilizadores em 310 milhões de repositórios, com 610 milhões de estrelas.
Usando um sistema para analisar contas potencialmente falsas dentro da plataforma, os investigadores chegaram à conclusão que quase 4.5 milhões de estrelas em projetos dentro do GitHub foram adquiridas com fins pouco convencionais, como para dar mais destaque a projetos contendo malware.
Foram ainda descobertas mais de 1,320,000 contas que estavam a ser usadas para esta campanha de falsas estrelas em quase 23 mil repositórios. No período usado para o estudo, mais de 62% das contas inicialmente identificadas como sendo falsas foram removidas da plataforma e 91% dos repositórios visados foram igualmente removidos, seja pelos próprios autores dos mesmos ou por ações diretas do GitHub, devido a violações dos termos da plataforma.
Este formato de campanhas maliciosas através do uso de estrelas no GitHub tem vindo a alargar-se consideravelmente, e pode causar possíveis impactos de segurança, com projetos maliciosos ou enganadores a serem recomendados como fidedignos, e poderem mesmo chegar a ser adotados em larga escala antes de se descobrir as atividades maliciosas.
A Microsoft, dona do GitHub, tem vindo a implementar medidas para combater este formato de falsas avaliações dentro da plataforma, mas ainda existe bastante trabalho a ser feito, tendo em conta os dados agora revelados. De momento não existe uma forma clara de como o GitHub aplica medidas para prevenir este formato de exploração das funcionalidades da sua plataforma.
Nenhum comentário
Seja o primeiro!