GitHub सर्व्हरवर क्रिप्टोकरन्सी मायनिंगसाठी GitHub क्रियांवर हल्ला

GitHub हल्ल्यांच्या मालिकेचा तपास करत आहे ज्यात हल्लेखोरांनी GitHub क्लाउड इन्फ्रास्ट्रक्चरवर त्यांचा कोड चालवण्यासाठी GitHub क्रिया यंत्रणा वापरून क्रिप्टोकरन्सी खणण्यात व्यवस्थापित केले. खाणकामासाठी GitHub क्रिया वापरण्याचा पहिला प्रयत्न गेल्या वर्षी नोव्हेंबरमध्ये झाला.

GitHub क्रिया कोड विकसकांना GitHub मधील विविध ऑपरेशन्स स्वयंचलित करण्यासाठी हँडलर संलग्न करण्यास अनुमती देतात. उदाहरणार्थ, गिटहब अॅक्शन्स वापरून तुम्ही कमिट करताना काही तपासण्या आणि चाचण्या करू शकता किंवा नवीन समस्यांवर प्रक्रिया स्वयंचलित करू शकता. खाणकाम सुरू करण्यासाठी, आक्रमणकर्ते GitHub क्रियांचा वापर करणार्‍या रेपॉजिटरीचा एक काटा तयार करतात, त्यांच्या प्रतीमध्ये नवीन GitHub क्रिया जोडतात आणि विद्यमान GitHub क्रिया हँडलर्सना नवीन “.github/workflows” सह पुनर्स्थित करण्याचा प्रस्ताव मूळ रेपॉजिटरीकडे पाठवतात. /ci.yml" हँडलर.

दुर्भावनापूर्ण पुल विनंती आक्रमणकर्त्या-निर्दिष्ट GitHub क्रिया हँडलर चालवण्याचे अनेक प्रयत्न व्युत्पन्न करते, जे 72 तासांनंतर कालबाह्य झाल्यामुळे व्यत्यय आणते, अयशस्वी होते आणि नंतर पुन्हा चालते. आक्रमण करण्‍यासाठी, आक्रमण करणार्‍याला फक्त एक पुल विनंती तयार करणे आवश्यक आहे - हँडलर मूळ रेपॉजिटरी मेंटेनर्सकडून कोणत्याही पुष्टीकरणाशिवाय किंवा सहभागाशिवाय स्वयंचलितपणे चालतो, जो केवळ संशयास्पद क्रियाकलाप बदलू शकतो आणि GitHub क्रिया सुरू करणे थांबवू शकतो.

हल्लेखोरांनी जोडलेल्या ci.yml हँडलरमध्ये, “रन” पॅरामीटरमध्ये अस्पष्ट कोड असतो (eval “$(echo 'YXB0IHVwZGF0ZSAt…' | base64 -d”), जे अंमलात आणल्यावर, मायनिंग प्रोग्राम डाउनलोड करून चालवण्याचा प्रयत्न करते. वेगवेगळ्या रिपॉझिटरीजमधील हल्ल्याच्या पहिल्या प्रकारांमध्ये npm.exe नावाचा प्रोग्राम GitHub आणि GitLab वर अपलोड केला गेला आणि अल्पाइन लिनक्ससाठी एक एक्झिक्यूटेबल ELF फाइलमध्ये संकलित केला गेला (डॉकर प्रतिमांमध्ये वापरला जातो.) हल्ल्याचे नवीन प्रकार सामान्य XMRig चा कोड डाउनलोड करतात. अधिकृत प्रकल्प भांडारातील खाण कामगार, जे नंतर पत्ता बदलण्याचे वॉलेट आणि डेटा पाठविण्यासाठी सर्व्हरसह तयार केले जाते.

स्त्रोत: opennet.ru