Напад на GitHub Акции за ископување криптовалути на серверите на GitHub

GitHub истражува серија напади во кои напаѓачите успеале да минираат криптовалути на инфраструктурата на облакот GitHub користејќи го механизмот GitHub Actions за да го извршат нивниот код. Првите обиди за користење на GitHub Actions за рударство датираат од ноември минатата година.

GitHub Actions им овозможува на развивачите на кодови да прикачат управувачи за автоматизирање на различни операции во GitHub. На пример, со користење на GitHub Actions можете да извршите одредени проверки и тестови при извршување или да ја автоматизирате обработката на нови проблеми. За да започнат со рударство, напаѓачите создаваат вилушка од складиштето што користи GitHub Actions, додаваат нови GitHub Actions во нивната копија и испраќаат барање за повлекување до оригиналното складиште со предлагање да се заменат постоечките управувачи на GitHub Actions со новиот „.github/workflows /ci.yml“ управувач.

Злонамерното барање за повлекување генерира повеќекратни обиди за извршување на управувачот на GitHub Actions одреден од напаѓачот, кој по 72 часа е прекинат поради истек на време, не успева и потоа се извршува повторно. За да нападне, напаѓачот треба само да создаде барање за повлекување - управувачот работи автоматски без никаква потврда или учество од оригиналните одржувачи на складиштето, кои можат само да заменат сомнителна активност и да престанат да ги извршуваат GitHub Actions.

Во ракувачот ci.yml додаден од напаѓачите, параметарот „run“ содржи заматен код (eval „$(echo 'YXB0IHVwZGF0ZSAt…' | base64 -d“), кој, кога ќе се изврши, се обидува да ја преземе и изврши програмата за рударство. Во првите варијанти на нападот од различни складишта, програмата наречена npm.exe беше поставена на GitHub и GitLab и компајлирана во извршна датотека ELF за Alpine Linux (се користи во сликите на Docker за преземање на генерички код). XMRig рудар од официјалното складиште на проекти, кое потоа се компајлира со замена за адреси и сервери за испраќање податоци.

Извор: opennet.ru