GitHub ਸਰਵਰਾਂ 'ਤੇ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਮਾਈਨਿੰਗ ਲਈ GitHub ਕਾਰਵਾਈਆਂ 'ਤੇ ਹਮਲਾ

GitHub ਹਮਲਿਆਂ ਦੀ ਇੱਕ ਲੜੀ ਦੀ ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ ਜਿਸ ਵਿੱਚ ਹਮਲਾਵਰ ਆਪਣੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਲਈ GitHub ਐਕਸ਼ਨ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ GitHub ਕਲਾਉਡ ਬੁਨਿਆਦੀ ਢਾਂਚੇ 'ਤੇ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਦੀ ਮਾਈਨਿੰਗ ਕਰਨ ਵਿੱਚ ਕਾਮਯਾਬ ਹੋਏ। ਮਾਈਨਿੰਗ ਲਈ GitHub ਐਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀਆਂ ਪਹਿਲੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਪਿਛਲੇ ਸਾਲ ਨਵੰਬਰ ਵਿੱਚ ਹੋਈਆਂ।

GitHub ਐਕਸ਼ਨ ਕੋਡ ਡਿਵੈਲਪਰਾਂ ਨੂੰ GitHub ਵਿੱਚ ਵੱਖ-ਵੱਖ ਓਪਰੇਸ਼ਨਾਂ ਨੂੰ ਸਵੈਚਾਲਤ ਕਰਨ ਲਈ ਹੈਂਡਲਰਾਂ ਨੂੰ ਜੋੜਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, GitHub ਐਕਸ਼ਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਤੁਸੀਂ ਕੁਝ ਜਾਂਚਾਂ ਅਤੇ ਟੈਸਟਾਂ ਨੂੰ ਕਰ ਸਕਦੇ ਹੋ, ਜਾਂ ਨਵੇਂ ਮੁੱਦਿਆਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰ ਸਕਦੇ ਹੋ। ਮਾਈਨਿੰਗ ਸ਼ੁਰੂ ਕਰਨ ਲਈ, ਹਮਲਾਵਰ ਰਿਪੋਜ਼ਟਰੀ ਦਾ ਇੱਕ ਫੋਰਕ ਬਣਾਉਂਦੇ ਹਨ ਜੋ GitHub ਐਕਸ਼ਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਉਹਨਾਂ ਦੀ ਕਾਪੀ ਵਿੱਚ ਇੱਕ ਨਵਾਂ GitHub ਐਕਸ਼ਨ ਜੋੜਦਾ ਹੈ, ਅਤੇ ਮੌਜੂਦਾ GitHub ਐਕਸ਼ਨ ਹੈਂਡਲਰਾਂ ਨੂੰ ਨਵੇਂ ".github/workflows" ਨਾਲ ਬਦਲਣ ਦੀ ਤਜਵੀਜ਼ ਵਾਲੀ ਅਸਲ ਰਿਪੋਜ਼ਟਰੀ ਨੂੰ ਇੱਕ ਪੁੱਲ ਬੇਨਤੀ ਭੇਜਦਾ ਹੈ। /ci.yml" ਹੈਂਡਲਰ।

ਖਤਰਨਾਕ ਪੁੱਲ ਬੇਨਤੀ ਹਮਲਾਵਰ-ਨਿਰਧਾਰਤ GitHub ਐਕਸ਼ਨ ਹੈਂਡਲਰ ਨੂੰ ਚਲਾਉਣ ਲਈ ਕਈ ਕੋਸ਼ਿਸ਼ਾਂ ਪੈਦਾ ਕਰਦੀ ਹੈ, ਜੋ ਕਿ 72 ਘੰਟਿਆਂ ਬਾਅਦ ਸਮਾਂ ਸਮਾਪਤ ਹੋਣ ਕਾਰਨ ਵਿਘਨ ਪਾਉਂਦੀ ਹੈ, ਅਸਫਲ ਹੋ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਫਿਰ ਦੁਬਾਰਾ ਚਲਦੀ ਹੈ। ਹਮਲਾ ਕਰਨ ਲਈ, ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਸਿਰਫ ਇੱਕ ਪੁੱਲ ਬੇਨਤੀ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ - ਹੈਂਡਲਰ ਅਸਲ ਰਿਪੋਜ਼ਟਰੀ ਮੇਨਟੇਨਰਾਂ ਤੋਂ ਬਿਨਾਂ ਕਿਸੇ ਪੁਸ਼ਟੀ ਜਾਂ ਭਾਗੀਦਾਰੀ ਦੇ ਆਪਣੇ ਆਪ ਚੱਲਦਾ ਹੈ, ਜੋ ਸਿਰਫ ਸ਼ੱਕੀ ਗਤੀਵਿਧੀ ਨੂੰ ਬਦਲ ਸਕਦਾ ਹੈ ਅਤੇ ਪਹਿਲਾਂ ਤੋਂ ਚੱਲ ਰਹੀਆਂ GitHub ਕਾਰਵਾਈਆਂ ਨੂੰ ਰੋਕ ਸਕਦਾ ਹੈ।

ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ci.yml ਹੈਂਡਲਰ ਵਿੱਚ, “ਰਨ” ਪੈਰਾਮੀਟਰ ਵਿੱਚ ਅਸ਼ਲੀਲ ਕੋਡ (eval “$(echo 'YXB0IHVwZGF0ZSAt…' | base64 -d”) ਸ਼ਾਮਲ ਹੁੰਦਾ ਹੈ, ਜੋ, ਜਦੋਂ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ, ਮਾਈਨਿੰਗ ਪ੍ਰੋਗਰਾਮ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਅਤੇ ਚਲਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ। ਵੱਖ-ਵੱਖ ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੋਂ ਹਮਲੇ ਦੇ ਪਹਿਲੇ ਰੂਪਾਂ ਵਿੱਚ npm.exe ਨਾਮਕ ਇੱਕ ਪ੍ਰੋਗਰਾਮ ਨੂੰ GitHub ਅਤੇ GitLab 'ਤੇ ਅੱਪਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਅਲਪਾਈਨ ਲੀਨਕਸ ਲਈ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ELF ਫਾਈਲ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤਾ ਗਿਆ ਸੀ (ਡੌਕਰ ਚਿੱਤਰਾਂ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।) ਹਮਲੇ ਦੇ ਨਵੇਂ ਰੂਪ ਇੱਕ ਆਮ XMRig ਦਾ ਕੋਡ ਡਾਊਨਲੋਡ ਕਰਦੇ ਹਨ। ਅਧਿਕਾਰਤ ਪ੍ਰੋਜੈਕਟ ਰਿਪੋਜ਼ਟਰੀ ਤੋਂ ਮਾਈਨਰ, ਜੋ ਫਿਰ ਐਡਰੈੱਸ ਸਬਸਟੀਟਿਊਸ਼ਨ ਵਾਲਿਟ ਅਤੇ ਡਾਟਾ ਭੇਜਣ ਲਈ ਸਰਵਰਾਂ ਨਾਲ ਬਣਾਇਆ ਗਿਆ ਹੈ।

ਸਰੋਤ: opennet.ru