התקפה על GitHub פעולות לכריית מטבעות קריפטוגרפיים בשרתי GitHub

GitHub חוקרת סדרה של התקפות שבהן הצליחו תוקפים לכרות מטבעות קריפטוגרפיים על תשתית הענן של GitHub באמצעות מנגנון GitHub Actions כדי להפעיל את הקוד שלהם. הניסיונות הראשונים להשתמש ב-GitHub Actions לכרייה הגיעו לנובמבר בשנה שעברה.

GitHub Actions מאפשר למפתחי קוד לצרף מטפלים כדי להפוך פעולות שונות לאוטומטיות ב-GitHub. לדוגמה, באמצעות GitHub Actions אתה יכול לבצע בדיקות ובדיקות מסוימות בעת ביצוע, או להפוך את העיבוד של בעיות חדשות לאוטומטיות. כדי להתחיל כרייה, תוקפים יוצרים מזלג של המאגר שמשתמש ב-GitHub Actions, מוסיפים פעולות GitHub חדשה לעותק שלהם, ושולחים בקשת משיכה למאגר המקורי שמציעה להחליף את המטפלים הקיימים ב-GitHub Actions ב-".github/workflows החדשים /ci.yml" מטפל.

בקשת המשיכה הזדונית מייצרת ניסיונות מרובים להפעיל את המטפל ב-GitHub Actions שצוין על ידי התוקף, אשר לאחר 72 שעות מופסק עקב פסק זמן, נכשל ואז פועל שוב. כדי לתקוף, תוקף צריך רק ליצור בקשת משיכה - המטפל פועל באופן אוטומטי ללא כל אישור או השתתפות של מנהלי המאגר המקוריים, שיכולים רק להחליף פעילות חשודה ולהפסיק כבר להריץ את פעולות GitHub.

במטפל ci.yml שנוספו על ידי התוקפים, הפרמטר "הפעלה" מכיל קוד מעורפל (eval "$(echo 'YXB0IHVwZGF0ZSAt…' | base64 -d"), אשר, כאשר הוא מופעל, מנסה להוריד ולהפעיל את תוכנית הכרייה. בגרסאות הראשונות של המתקפה ממאגרים שונים הועלתה תוכנית בשם npm.exe ל-GitHub ו-GitLab והורכבה לקובץ ELF בר הפעלה עבור Alpine Linux (בשימוש בתמונות Docker.) צורות התקפה חדשות יותר מורידות את הקוד של XMRig גנרי כורה ממאגר הפרויקטים הרשמי, שנבנה לאחר מכן עם ארנק החלפת כתובות ושרתים לשליחת נתונים.

מקור: OpenNet.ru