GitHub सर्भरहरूमा क्रिप्टोकरेन्सी खननको लागि GitHub कार्यहरूमा आक्रमण

GitHub ले आक्रमणहरूको एक श्रृंखलाको अनुसन्धान गरिरहेको छ जसमा आक्रमणकारीहरूले GitHub क्लाउड इन्फ्रास्ट्रक्चरमा क्रिप्टोकरेन्सी माइन गर्न व्यवस्थित गर्यो GitHub कार्य संयन्त्र प्रयोग गरेर तिनीहरूको कोड चलाउन। गत वर्ष नोभेम्बरमा खननको लागि GitHub कार्यहरू प्रयोग गर्ने पहिलो प्रयासहरू।

GitHub कार्यहरूले कोड विकासकर्ताहरूलाई GitHub मा विभिन्न कार्यहरू स्वचालित गर्न ह्यान्डलरहरू संलग्न गर्न अनुमति दिन्छ। उदाहरणका लागि, GitHub कार्यहरू प्रयोग गरेर तपाईंले कमिट गर्दा निश्चित जाँचहरू र परीक्षणहरू गर्न सक्नुहुन्छ, वा नयाँ मुद्दाहरूको प्रशोधन स्वचालित गर्न सक्नुहुन्छ। खनन सुरु गर्न, आक्रमणकारीहरूले GitHub कार्यहरू प्रयोग गर्ने रिपोजिटरीको फोर्क सिर्जना गर्छन्, तिनीहरूको प्रतिलिपिमा नयाँ GitHub कार्यहरू थप्छन्, र अवस्थित GitHub कार्य ह्यान्डलरहरूलाई नयाँ ".github/workflows" सँग बदल्न प्रस्तावित मूल भण्डारमा पुल अनुरोध पठाउँछन्। /ci.yml" ह्यान्डलर।

मालिसियस पुल अनुरोधले आक्रमणकर्ता-निर्दिष्ट GitHub कार्य ह्यान्डलर चलाउनको लागि धेरै प्रयासहरू उत्पन्न गर्दछ, जुन 72 घण्टा पछि टाइमआउटको कारण अवरुद्ध हुन्छ, असफल हुन्छ, र फेरि चल्छ। आक्रमण गर्न, आक्रमणकारीले मात्र पुल अनुरोध सिर्जना गर्न आवश्यक छ - ह्यान्डलरले कुनै पनि पुष्टिकरण वा मूल भण्डार मर्मतकर्ताहरूबाट सहभागिता बिना स्वचालित रूपमा चल्छ, जसले केवल संदिग्ध गतिविधिलाई प्रतिस्थापन गर्न सक्छ र पहिले नै GitHub कार्यहरू चलिरहेको रोक्न सक्छ।

आक्रमणकारीहरूद्वारा थपिएको ci.yml ह्यान्डलरमा, "रन" प्यारामिटरले अस्पष्ट कोड समावेश गर्दछ (eval “$(echo 'YXB0IHVwZGF0ZSAt…' | base64 -d”), जुन कार्यान्वयन गर्दा, खनन कार्यक्रम डाउनलोड र चलाउने प्रयास गर्दछ। विभिन्न भण्डारहरूबाट आक्रमणको पहिलो संस्करणमा npm.exe भनिने कार्यक्रमलाई GitHub र GitLab मा अपलोड गरिएको थियो र अल्पाइन लिनक्स (डकर छविहरूमा प्रयोग गरिएको) को लागि कार्यान्वयनयोग्य ELF फाइलमा कम्पाइल गरिएको थियो। आक्रमणका नयाँ रूपहरूले जेनेरिक कोड डाउनलोड गर्दछ। आधिकारिक प्रोजेक्ट रिपोजिटरीबाट XMRig माइनर, जुन त्यसपछि ठेगाना प्रतिस्थापन वालेट र डेटा पठाउनका लागि सर्भरहरूसँग कम्पाइल गरिएको छ।

स्रोत: opennet.ru