GitHub čelí rozsiahlym malvérovým útokom ovplyvňujúcim projekty vrátane kryptomien

Hlavná vývojárska platforma GitHub čelila rozsiahlemu útoku škodlivého softvéru a ohlásila 35,000 XNUMX „úspešných zásahov do kódu“ v deň, keď sa tisíce peňaženiek so systémom Solana vyčerpali za milióny dolárov.

Rozsiahly útok zdôraznil vývojár GitHub Stephen Lucy, ktorý o incidente prvýkrát informoval v stredu. Vývojár na tento problém narazil pri kontrole projektu, ktorý našiel vo vyhľadávaní Google.

Odhaľujem to, čo sa zdá byť masívnym rozšíreným útokom škodlivého softvéru @github.
– V súčasnosti je infikovaných viac ako 35 XNUMX úložísk
– Doteraz sa nachádza v projektoch vrátane: krypto, golang, python, js, bash, docker, k8s
– Pridáva sa do skriptov npm, obrázkov dockerov a inštalačných dokumentov pic.twitter.com/rq3CBDw3r9
— Stephen Lacy (@stephenlacy) Augusta 3, 2022

Doteraz sa zistilo, že útok zasiahol rôzne projekty – od krypto, Golang, Python, JavaScript, Bash, Docker a Kubernetes. Malvérový útok je zameraný na obrázky dockerov, inštaláciu dokumentov a skript NPM, čo je pohodlný spôsob, ako spojiť bežné príkazy shellu pre projekt.

Aby oklamal vývojárov a získal prístup k dôležitým údajom, útočník najprv vytvorí falošné úložisko (úložisko obsahuje všetky súbory projektu a históriu revízií každého súboru) a pošle klony legitímnych projektov na GitHub. Napríklad nasledujúce dva snímky zobrazujú tento legitímny projekt krypto baníkov a jeho klon.

*Pôvodný projekt ťažby kryptomien. Zdroj: Github*

*Klonovaný projekt ťažby kryptomien. Zdroj: Github*

Mnohé z týchto klonových úložísk boli presunuté ako „žiadosti o stiahnutie“, ktoré umožňujú vývojárom informovať ostatných o zmenách, ktoré presunuli do pobočky v úložisku na GitHub.

Súvisiace: Nomad údajne ignoroval bezpečnostnú chybu, ktorá viedla k zneužitiu 190 miliónov dolárov

Keď sa vývojár stane obeťou útoku škodlivého softvéru, celá premenná prostredia (ENV) skriptu, aplikácie alebo prenosného počítača (aplikácie Electron) sa odošle na server útočníka. ENV obsahuje bezpečnostné kľúče, prístupové kľúče Amazon Web Services, kryptografické kľúče a oveľa viac.

Vývojár nahlásil problém na GitHub a odporučil vývojárom, aby GPG podpísali svoje revízie vykonané v úložisku. Kľúče GPG dodávajú účtom a softvérovým projektom GitHub ďalšiu vrstvu zabezpečenia tým, že poskytujú spôsob, ako overiť, že všetky revízie pochádzajú z dôveryhodného zdroja.