Ni mfano mwingine wa jinsi uthibitisho wa dhana uliowekwa wazi unavyotumiwa vibaya kwa watafiti wa usalama. Uthibitishaji wa dhana ya chanzo huria ulionakiliwa hivi majuzi na kutumiwa vibaya (PoC) kutoka kwa kampuni inayotambulika ya usalama, inayolenga kusaidia watafiti wa vitisho, ni mfano wa hivi punde zaidi wa mbinu mpya za wavamizi watatumia kueneza programu hasidi. PoCs za udhaifu unaojulikana zimeundwa ili kushirikiwa na wanafunzi, watafiti, na wataalamu wa IT ili kuboresha programu na kuimarisha ulinzi. Hatari ni kwamba chochote kilichowekwa kwenye mtandao kinaweza kutumiwa vibaya. CSOonline iliripoti juu ya asili – na salama – matumizi ya PoC, LDAPNightmare, iliyoundwa na SafeBreach kwa hatari ya Itifaki ya Upataji wa Saraka ya Windows Lightweight (LDAP) mnamo Januari 3. Hata hivyo, leo, Trend Micro ilisema imepata toleo hasidi la PoC hiyo. ameketi kwenye GitHub. Katika mahojiano, Tomer Bar, makamu wa rais wa utafiti wa usalama wa SafeBreach, alisisitiza kuwa PoC ya kampuni hiyo haikuathiriwa, lakini ilinakiliwa na kubadilishwa. Uthibitisho wa asili wa unyonyaji wa dhana ulichapishwa kwenye tovuti rasmi ya SafeBreach ya GitHub. “Siku zote tunachapisha msimbo kamili wa chanzo-wazi,” aliongeza, “ili watu waweze kuthibitisha kuwa ni halali na si mbaya.” “Hazina mbaya iliyo na PoC inaonekana kuwa uma kutoka kwa muundaji asili,” Trend Micro ilisema katika ripoti yake. “Katika kesi hii, faili za asili za Python zilibadilishwa na poc inayoweza kutekelezwa[dot]exe ambayo ilikuwa imejaa kwa kutumia UPX. Kwa bahati nzuri, uwepo wa faili inayoweza kutekelezwa katika mradi wa msingi wa Python ilikuwa kidokezo kwa wataalam wenye uzoefu wa infosec kwamba kuna kitu kilikuwa kibaya. ‘Farasi wa Trojan wa kawaida’ Hifadhi mbaya imeondolewa. Lakini ugunduzi wake ni mfano mwingine wa kwa nini mtu yeyote katika IT anapaswa kuwa mwangalifu kupakua nambari kutoka mahali popote, pamoja na hazina ya chanzo wazi, alisema David Shipley, Mkurugenzi Mtendaji wa kampuni ya mafunzo ya uhamasishaji ya Kanada ya Beauceron Security. “Trojan’s gonna Trojan,” alisema katika mahojiano, akielezea jaribio la kuwavutia wasiojitayarisha kama “mkakati wa uhandisi wa kijamii.” “Hii ni Trojan Horse ya kawaida: Unaenda kutafuta PoC halali, inayotegemea utafiti na unapata inayofanana na PoC, lakini unapata inayoweza kutekelezwa.” Sababu kwa nini watendaji tishio wanazidi kutumia mbinu hii, alisema, ni kwa sababu inafanya kazi. Miongoni mwa utetezi: Jaribu uthibitisho wa dhana katika mazingira ya pekee ya kompyuta. “Msimbo wowote kutoka kwa wavuti unapaswa kuchukuliwa kuwa chafu sana hadi ujue kuwa ni salama,” Shipley aliongeza. Si mbinu mpya Mbinu ya kutumia PoC kuficha programu hasidi au mlango wa nyuma sio mpya. Mnamo 2023, kwa mfano, Uptycs iliripoti juu ya uthibitisho mbaya ulioshirikiwa sana wa dhana kwenye GitHub inayodai kushughulikia hatari kubwa ya Linux kernel CVE-2023-35829. Na kulingana na utafiti wa 2022 na watafiti katika Chuo Kikuu cha Cornell katika PoCs zilizoshikiliwa na GitHub, karibu 2% ya hazina 47,285 ilizochunguza zilikuwa na viashiria vya nia mbaya. “Takwimu hii inaonyesha kuenea kwa wasiwasi kwa PoCs hatari kati ya nambari za unyonyaji zilizosambazwa kwenye GitHub,” utafiti ulihitimisha – na hiyo ilikuwa zaidi ya miaka miwili iliyopita. Msimu uliopita, SonicWall ilitoa ripoti nyingine juu ya kuongezeka kwa PoCs hasidi. “Ingawa watafiti wa usalama mara nyingi huwa na vifaa vya kutosha kushughulikia na kugundua hali hii,” ilimalizia, “ni rahisi kujiamini kupita kiasi, na kusababisha maelewano.” Tumia hazina zinazoaminika pekee ambazo wataalamu wa Usalama wa Mtandao, ikiwa ni pamoja na timu za bluu na nyekundu, wanapaswa kupakua maudhui kutoka hazina za vyanzo huria zinazoaminika ambazo zina nyota nyingi, SafeBreach’s Bar ilisema, na kamwe wasiwahi kupakua vitekelezo kutoka kwa vyanzo visivyoaminika. Zaidi ya hayo, Trend Micro iliwashauri wafanyakazi wa TEHAMA: kupakua misimbo kila wakati, maktaba, na vitegemezi kutoka kwa hazina rasmi na zinazoaminika; kuwa mwangalifu dhidi ya hazina zilizo na maudhui ya kutiliwa shaka ambayo yanaweza kuonekana si sahihi kwa zana au programu ambayo inadaiwa kuwa inapangisha; ikiwezekana, thibitisha utambulisho wa mmiliki wa hazina au shirika; kagua historia ya ahadi ya hazina na mabadiliko ya hivi majuzi kwa hitilafu au ishara za shughuli hasidi; kuwa waangalifu na hazina zilizo na nyota chache sana, uma, au wachangiaji, haswa ikiwa zinadai kutumika sana; tafuta maoni, masuala, au majadiliano kuhusu hazina ili kutambua uwezekano wa alama nyekundu.