GitHub ემუქრება მავნე პროგრამების ფართო შეტევებს, რომლებიც გავლენას ახდენენ პროექტებზე, მათ შორის კრიპტოვალუტაზე

დეველოპერების მთავარი პლატფორმა GitHub შეექმნა ფართომასშტაბიანი მავნე პროგრამის შეტევას და მოახსენა 35,000 „კოდის დარტყმა“ დღეში, როდესაც სოლანაზე დაფუძნებული ათასობით საფულე მილიონობით დოლარად დაიხარჯა.

გავრცელებულ თავდასხმას ხაზი გაუსვა GitHub-ის დეველოპერმა სტივენ ლუსიმ, რომელმაც პირველად შეატყობინა ინციდენტის შესახებ ოთხშაბათს. დეველოპერმა პრობლემა წააწყდა Google-ის ძიებაში ნაპოვნი პროექტის განხილვისას.

მე აღმოვაჩინე ის, რაც, როგორც ჩანს, არის მასიური გავრცელებული მავნე პროგრამული შეტევა @github.

– ამჟამად ინფიცირებულია 35 ათასზე მეტი საცავი
– ჯერჯერობით ნაპოვნია პროექტებში, მათ შორის: კრიპტო, golang, python, js, bash, docker, k8s
- მას ემატება npm სკრიპტები, დოკერის სურათები და დააინსტალირეთ დოკუმენტები pic.twitter.com/rq3CBDw3r9

- სტივენ ლეისი (@stephenlacy) 3 წლის 2022 აგვისტო

ჯერჯერობით, სხვადასხვა პროექტები - კრიპტო, Golang, Python, JavaScript, Bash, Docker და Kubernetes - დაფიქსირდა, რომ დაზარალდნენ თავდასხმის შედეგად. მავნე პროგრამის შეტევა გამიზნულია დოკერის სურათებზე, დააინსტალირეთ დოკუმენტები და NPM სკრიპტები, რაც მოსახერხებელი გზაა პროექტისთვის საერთო ჭურვის ბრძანებების შეკვრის მიზნით.

დეველოპერების მოსატყუებლად და კრიტიკულ მონაცემებზე წვდომისთვის, თავდამსხმელი ჯერ ქმნის ყალბ საცავს (საცავი შეიცავს პროექტის ყველა ფაილს და თითოეული ფაილის რევიზიის ისტორიას) და უბიძგებს ლეგიტიმური პროექტების კლონებს GitHub-ში. მაგალითად, შემდეგი ორი სნეპშოტი აჩვენებს ამ ლეგიტიმურ კრიპტო მაინერ პროექტს და მის კლონს.

ამ კლონური საცავებიდან ბევრი გავრცელდა როგორც „გაყვანის მოთხოვნა“, რაც დეველოპერებს საშუალებას აძლევს სხვებს უამბონ იმ ცვლილებების შესახებ, რომლებიც მათ გადაიტანეს GitHub-ის საცავში არსებულ ფილიალში.

ამავე თემაზე: გავრცელებული ინფორმაციით, Nomad-მა უგულებელყო უსაფრთხოების დაუცველობა, რამაც გამოიწვია 190 მილიონი დოლარის ექსპლოატაცია

მას შემდეგ, რაც დეველოპერი გახდება მავნე პროგრამის შეტევის მსხვერპლი, სკრიპტის, აპლიკაციის ან ლეპტოპის (ელექტრონული აპები) მთელი გარემო ცვლადი (ENV) იგზავნება თავდამსხმელის სერვერზე. ENV მოიცავს უსაფრთხოების გასაღებებს, Amazon Web Services-ის წვდომის გასაღებებს, კრიპტო გასაღებებს და ბევრ სხვას.

დეველოპერმა შეატყობინა პრობლემა GitHub-ს და ურჩია დეველოპერებს ხელი მოაწერონ GPG-ს საცავში შესრულებულ რევიზიებს. GPG კლავიშები ამატებენ უსაფრთხოების დამატებით ფენას GitHub ანგარიშებსა და პროგრამულ პროექტებს, უზრუნველყოფენ ყველა რევიზიის დადასტურების საშუალებას სანდო წყაროდან.