GitHub सर्वर पर क्रिप्टोकरेंसी माइनिंग के लिए GitHub क्रियाओं पर हमला

GitHub हमलों की एक श्रृंखला की जांच कर रहा है जिसमें हमलावर अपने कोड को चलाने के लिए GitHub Actions तंत्र का उपयोग करके GitHub क्लाउड इंफ्रास्ट्रक्चर पर क्रिप्टोकरेंसी को माइन करने में कामयाब रहे। खनन के लिए GitHub Actions का उपयोग करने का पहला प्रयास पिछले साल नवंबर में हुआ था।

GitHub क्रियाएँ कोड डेवलपर्स को GitHub में विभिन्न परिचालनों को स्वचालित करने के लिए हैंडलर संलग्न करने की अनुमति देती हैं। उदाहरण के लिए, GitHub क्रियाओं का उपयोग करके आप कमिट करते समय कुछ जाँच और परीक्षण कर सकते हैं, या नए मुद्दों की प्रोसेसिंग को स्वचालित कर सकते हैं। खनन शुरू करने के लिए, हमलावर रिपॉजिटरी का एक कांटा बनाते हैं जो GitHub Actions का उपयोग करता है, अपनी कॉपी में एक नया GitHub Actions जोड़ता है, और मौजूदा GitHub Actions हैंडलर को नए ".github/workflows" से बदलने का प्रस्ताव करते हुए मूल रिपॉजिटरी को एक पुल अनुरोध भेजता है। /ci.yml” हैंडलर।

दुर्भावनापूर्ण पुल अनुरोध हमलावर-निर्दिष्ट गिटहब एक्शन हैंडलर को चलाने के लिए कई प्रयास उत्पन्न करता है, जो 72 घंटों के बाद टाइमआउट के कारण बाधित होता है, विफल रहता है, और फिर फिर से चलता है। हमला करने के लिए, एक हमलावर को केवल एक पुल अनुरोध बनाने की आवश्यकता होती है - हैंडलर मूल रिपॉजिटरी रखरखावकर्ताओं से किसी भी पुष्टि या भागीदारी के बिना स्वचालित रूप से चलता है, जो केवल संदिग्ध गतिविधि को प्रतिस्थापित कर सकता है और पहले से चल रहे गिटहब क्रियाओं को रोक सकता है।

हमलावरों द्वारा जोड़े गए ci.yml हैंडलर में, "रन" पैरामीटर में अस्पष्ट कोड (eval "$(echo 'YXB0IHVwZGF0ZSAt...' | Base64 -d") होता है, जो निष्पादित होने पर, खनन प्रोग्राम को डाउनलोड करने और चलाने का प्रयास करता है। अलग-अलग रिपॉजिटरी से हमले के पहले वेरिएंट में npm.exe नामक एक प्रोग्राम को GitHub और GitLab पर अपलोड किया गया था और अल्पाइन लिनक्स के लिए एक निष्पादन योग्य ELF फ़ाइल में संकलित किया गया था (डॉकर छवियों में प्रयुक्त)। हमले के नए रूप एक सामान्य XMRig का कोड डाउनलोड करते हैं आधिकारिक प्रोजेक्ट रिपॉजिटरी से माइनर, जिसे डेटा भेजने के लिए एड्रेस प्रतिस्थापन वॉलेट और सर्वर के साथ बनाया गया है।

स्रोत: opennet.ru