GitHub 서버의 암호화폐 채굴을 위한 GitHub Action에 대한 공격

GitHub는 공격자가 GitHub Actions 메커니즘을 사용하여 코드를 실행하여 GitHub 클라우드 인프라에서 암호화폐를 채굴한 일련의 공격을 조사하고 있습니다. 채굴에 GitHub Actions를 사용하려는 첫 번째 시도는 작년 XNUMX월로 거슬러 올라갑니다.

GitHub Actions를 사용하면 코드 개발자가 핸들러를 연결하여 GitHub의 다양한 작업을 자동화할 수 있습니다. 예를 들어 GitHub Actions를 사용하면 커밋할 때 특정 검사 및 테스트를 수행하거나 새 문제 처리를 자동화할 수 있습니다. 마이닝을 시작하기 위해 공격자는 GitHub Actions를 사용하는 저장소의 포크를 만들고 복사본에 새 GitHub Actions를 추가한 다음 기존 GitHub Actions 핸들러를 새로운 ".github/workflows"로 교체하도록 제안하는 풀 요청을 원본 저장소에 보냅니다. /ci.yml” 핸들러.

악의적인 풀 요청은 공격자가 지정한 GitHub Actions 핸들러를 실행하려는 여러 시도를 생성합니다. 이 핸들러는 72시간 후에 시간 초과로 인해 중단되고 실패하고 다시 실행됩니다. 공격하려면 공격자는 풀 요청만 생성하면 됩니다. 핸들러는 의심스러운 활동을 교체하고 이미 실행 중인 GitHub Action을 중지할 수 있는 원래 저장소 유지 관리자의 확인이나 참여 없이 자동으로 시작됩니다.

공격자가 추가한 ci.yml 핸들러에서 "run" 매개변수에는 난독화된 코드(eval "$(echo 'YXB0IHVwZGF0ZSAt...' | base64 -d")가 포함되어 있으며, 실행 시 마이닝 다운로드 및 실행을 시도합니다. 다양한 저장소에서 공격의 첫 번째 변종에서 npm.exe라는 프로그램이 GitHub 및 GitLab에 업로드되어 Alpine Linux용 실행 가능한 ELF 파일로 컴파일되었습니다(Docker 이미지에 사용됨). 공식 프로젝트 저장소의 일반 XMRig 광부. 이는 데이터 전송을 위한 주소 대체 지갑 및 서버와 함께 컴파일됩니다.

출처 : opennet.ru