GitHub 서버의 암호화폐 채굴을 위한 GitHub Action에 대한 공격

GitHub은 공격자가 GitHub Actions를 사용하여 코드를 실행하여 GitHub 클라우드 인프라에서 암호화폐를 채굴한 일련의 공격을 조사하고 있습니다. GitHub Actions를 사용하여 채굴하려는 첫 번째 시도는 작년 11월로 거슬러 올라갑니다.

GitHub Actions를 사용하면 코드 개발자가 핸들러를 연결하여 GitHub의 다양한 작업을 자동화할 수 있습니다. 예를 들어 GitHub Actions를 사용하면 커밋할 때 특정 검사 및 테스트를 수행하거나 새 문제 처리를 자동화할 수 있습니다. 마이닝을 시작하기 위해 공격자는 GitHub Actions를 사용하는 저장소의 포크를 만들고 복사본에 새 GitHub Actions를 추가한 다음 기존 GitHub Actions 핸들러를 새로운 ".github/workflows"로 교체하도록 제안하는 풀 요청을 원본 저장소에 보냅니다. /ci.yml” 핸들러.

악의적인 풀 요청은 공격자가 지정한 GitHub Actions 핸들러를 실행하려는 여러 시도를 생성합니다. 이 핸들러는 72시간 후에 시간 초과로 인해 중단되고 실패하고 다시 실행됩니다. 공격하려면 공격자는 풀 요청만 생성하면 됩니다. 핸들러는 의심스러운 활동을 교체하고 이미 실행 중인 GitHub Action을 중지할 수 있는 원래 저장소 유지 관리자의 확인이나 참여 없이 자동으로 시작됩니다.

공격자가 추가한 ci.yml 핸들러의 "run" 매개변수에는 난독화된 코드(eval "$(echo 'YXB0IHVwZGF0ZSAt…' | base64 -d"))가 포함되어 있으며, 이 코드가 실행되면 마이닝 프로그램을 다운로드하고 실행하려고 시도합니다. 초기 공격 변형에서는 Alpine Linux용 ELF 실행 파일로 컴파일된 npm.exe라는 프로그램이 GitHub 및 GitLab의 여러 저장소에서 다운로드되었습니다. Linux (도커 이미지에서 사용됨). 최근 공격 방식은 프로젝트의 공식 저장소에서 일반적인 XMRig 마이너의 코드를 다운로드한 다음, 지갑 주소를 바꿔서 코드를 조립하는 것입니다. 서버 데이터를 전송하기 위해.

출처 : opennet.ru