Атака срещу GitHub Действия за копаене на криптовалута на GitHub сървъри

GitHub разследва поредица от атаки, при които нападателите са успели да копаят криптовалута в облачната инфраструктура на GitHub, използвайки механизма GitHub Actions, за да изпълняват своя код. Първите опити за използване на GitHub Actions за копаене датират от ноември миналата година.

GitHub Actions позволява на разработчиците на кодове да прикачват манипулатори за автоматизиране на различни операции в GitHub. Например, като използвате GitHub Actions, можете да извършвате определени проверки и тестове при ангажиране или да автоматизирате обработката на нови проблеми. За да започнат копаене, атакуващите създават разклонение на хранилището, което използва GitHub Actions, добавят нови GitHub Actions към своето копие и изпращат заявка за изтегляне към оригиналното хранилище, предлагайки да се заменят съществуващите манипулатори на GitHub Actions с новите „.github/workflows /ci.yml” манипулатор.

Злонамерената заявка за изтегляне генерира множество опити за стартиране на посочения от атакуващия манипулатор на GitHub Actions, който след 72 часа се прекъсва поради изчакване, проваля се и след това се изпълнява отново. За да атакува, атакуващият трябва само да създаде заявка за изтегляне - манипулаторът се изпълнява автоматично без никакво потвърждение или участие от поддържащите оригиналното хранилище, които могат само да заменят подозрителна активност и да спрат вече изпълняваните GitHub Actions.

В манипулатора ci.yml, добавен от атакуващите, параметърът „run“ съдържа обфусциран код (eval „$(echo 'YXB0IHVwZGF0ZSAt…' | base64 -d“), който, когато се изпълни, се опитва да изтегли и стартира програмата за копаене. В първите варианти на атаката от различни хранилища Програма, наречена npm.exe, беше качена в GitHub и GitLab и компилирана в изпълним ELF файл за Alpine Linux (използван в Docker изображения.) По-нови форми на атака изтеглят кода на общ XMRig миньор от официалното хранилище на проекта, което след това се изгражда с портфейл за заместване на адреси и сървъри за изпращане на данни.

Източник: opennet.ru