GitHub 上でトロイの木馬を配布する 10,000 件のリポジトリを特定

攻撃者はコミットの削除と再プッシュを繰り返す手法で GitHub の検知を回避

配布される ZIP アーカイブには loader.exe や lua51.dll 等が含まれ、VirusTotal のファイルスキャンで検知可能

gharchive を活用し、過去 5 日間のコミットイベント 1,600 万件をフィルタリングして抽出

GitHub の検索結果やタグ機能を悪用し、信頼性を偽装する手口が横行しているため、OSS プロジェクトの依存関係やスクリプトを安易に実行するリスクが極めて高い。

GitHub の自動検知をすり抜ける手法が実在するため、セキュリティ対策はプラットフォーム側の対応を待たず、CI/CD パイプラインでのハッシュ値照合やサンドボックス実行が必須。