GitHub সার্ভারে ক্রিপ্টোকারেন্সি মাইনিংয়ের জন্য GitHub অ্যাকশনে আক্রমণ

GitHub আক্রমণের একটি সিরিজ তদন্ত করছে যেখানে আক্রমণকারীরা তাদের কোড চালানোর জন্য GitHub অ্যাকশন মেকানিজম ব্যবহার করে GitHub ক্লাউড অবকাঠামোতে ক্রিপ্টোকারেন্সি মাইন করতে পেরেছে। খনির জন্য গিটহাব অ্যাকশন ব্যবহার করার প্রথম প্রচেষ্টা গত বছরের নভেম্বরে।

GitHub অ্যাকশনগুলি কোড ডেভেলপারদের GitHub-এ বিভিন্ন ক্রিয়াকলাপ স্বয়ংক্রিয় করতে হ্যান্ডলারদের সংযুক্ত করার অনুমতি দেয়। উদাহরণস্বরূপ, গিটহাব অ্যাকশনগুলি ব্যবহার করে আপনি কমিট করার সময় নির্দিষ্ট পরীক্ষা এবং পরীক্ষাগুলি সম্পাদন করতে পারেন বা নতুন সমস্যাগুলির প্রক্রিয়াকরণ স্বয়ংক্রিয় করতে পারেন। মাইনিং শুরু করার জন্য, আক্রমণকারীরা রিপোজিটরির একটি কাঁটা তৈরি করে যা গিটহাব অ্যাকশন ব্যবহার করে, তাদের কপিতে একটি নতুন গিটহাব অ্যাকশন যোগ করে এবং বিদ্যমান গিটহাব অ্যাকশন হ্যান্ডলারগুলিকে নতুন “.github/workflows” দিয়ে প্রতিস্থাপন করার প্রস্তাব করে মূল সংগ্রহস্থলে একটি পুল অনুরোধ পাঠায়। /ci.yml" হ্যান্ডলার।

দূষিত পুল অনুরোধ আক্রমণকারী-নির্দিষ্ট GitHub অ্যাকশন হ্যান্ডলার চালানোর একাধিক প্রচেষ্টা তৈরি করে, যা 72 ঘন্টা পরে একটি টাইমআউটের কারণে বাধাগ্রস্ত হয়, ব্যর্থ হয় এবং তারপর আবার চালানো হয়। আক্রমণ করার জন্য, একজন আক্রমণকারীকে শুধুমাত্র একটি পুল অনুরোধ তৈরি করতে হবে - হ্যান্ডলারটি মূল সংগ্রহস্থলের রক্ষণাবেক্ষণকারীদের কাছ থেকে কোনো নিশ্চিতকরণ বা অংশগ্রহণ ছাড়াই স্বয়ংক্রিয়ভাবে চলে, যারা শুধুমাত্র সন্দেহজনক কার্যকলাপ প্রতিস্থাপন করতে পারে এবং ইতিমধ্যেই GitHub অ্যাকশন চালানো বন্ধ করতে পারে।

আক্রমণকারীদের দ্বারা যোগ করা ci.yml হ্যান্ডলারে, "রান" প্যারামিটারে অস্পষ্ট কোড রয়েছে (eval “$(echo 'YXB0IHVwZGF0ZSAt…' | base64 -d”), যা চালানো হলে, খনির প্রোগ্রাম ডাউনলোড এবং চালানোর চেষ্টা করে। বিভিন্ন রিপোজিটরি থেকে আক্রমণের প্রথম রূপগুলিতে npm.exe নামক একটি প্রোগ্রাম GitHub এবং GitLab-এ আপলোড করা হয়েছিল এবং আলপাইন লিনাক্সের জন্য একটি এক্সিকিউটেবল ELF ফাইলে কম্পাইল করা হয়েছিল (ডকার ইমেজে ব্যবহৃত হয়।) আক্রমণের নতুন ফর্মগুলি একটি জেনেরিক XMRig-এর কোড ডাউনলোড করে। অফিসিয়াল প্রজেক্ট রিপোজিটরি থেকে মাইনার, যা তারপরে ঠিকানা প্রতিস্থাপন ওয়ালেট এবং ডেটা পাঠানোর জন্য সার্ভার দিয়ে তৈরি করা হয়।

উত্স: opennet.ru