Developer, protege tu cuenta de GitHub que los malos van a por ti

A finales de Marzo, la Unit 42 de Palo Alto levantó la alerta de una campaña de ataques dirigidos a desarrolladores en GitHub. El malware utilizado para infectar a los desarrolladores y llevarse las passwords de sus cuentas se bautizó como Dimnie, y no era una pieza de software mal diseñada o fácil de analizar, lo que parece probar un ataque dirigido de nivel.

Figura 1: Developer, protege tu cuenta de GitHub que los malos van a por ti

Lo cierto es que si eres desarrollador de software, eres un objetivo goloso para el mundo del cibercrimen, ya que con cuentas robadas se podrían infectar los repositorios de código de esos desarrolladores o, como sucedió con el caso del malware XCodeGhost para OS X, directamente infectar el compilador y que todos los programas salgan ya infectados.

Figura 2: Informe de Dimnie hecho por la Unit 42 de Palo Alto

En el caso de XCodeGhost, con copias piratas de XCode, se consiguieron colar en AppStore 71 apps infectadas con malware que habían sido subidas por desarrolladores que no eran conscientes de estar infectados y estar infectando a todos los usuarios que se descargaban sus apps.

Figura 3: Activación de Segundo Factor de Autenticación en GitHub

Si tienes una cuenta en GitHub donde gestionas código personal o de tu empresa, deberías extremar las precauciones de ella, y entre otras cosas puedes ponerle un 2FA a la misma, utilizando un Cloud TOTP.  Vete a las opciones de cuenta y activa el Segundo Factor de Autenticación en Seguridad.

Figura 4: Activación de 2FA TOTP en GitHub

Selecciona el uso de una app para acceder a los TOTP Tokens, y escanea el QRCode con la app de Latch, como se hace en el resto de los ejemplos que tenéis disponibles de Latch Cloud TOTP.

Figura 5: Cloud TOTP de GitHub en Latch

Así al menos, si alguien te roba la cuenta de GitHub no va a poder estar manipulando tu código sin tu permiso, algo que ya ha pasado en otros casos en el pasado y que va a volver a suceder en el futuro con total seguridad.


Figura 6: Cómo proteger GitHub con Latch Cloud TOTP
En el vídeo de arriba tienes el proceso completo en un par de minutos, para que veas qué sencillo y rápido es el método y cómo puedes mantener mucho más segura tu identidad.

Saludos Malignos!