GitHub با حملات بدافزار گسترده‌ای مواجه می‌شود که بر پروژه‌ها، از جمله ارز دیجیتال، تأثیر می‌گذارد

پلتفرم توسعه‌دهنده بزرگ GitHub با یک حمله بدافزار گسترده مواجه شد و در روزی که هزاران مورد را مشاهده کرد، 35000 “کد بازدید” را گزارش کرد. کیف پول های مبتنی بر سولانا میلیون ها دلار تخلیه شد.

این حمله گسترده توسط استفان لوسی توسعه‌دهنده GitHub برجسته شد که اولین بار این حادثه را در اوایل 3 آگوست گزارش کرد. توسعه‌دهنده در حین بررسی پروژه‌ای که در جستجوی Google پیدا کرده بود با این مشکل مواجه شد.

من در حال کشف چیزی هستم که به نظر می رسد یک حمله بدافزار گسترده گسترده است @github.

– در حال حاضر بیش از 35 هزار مخزن آلوده هستند
– تاکنون در پروژه هایی از جمله: کریپتو، گلانگ، پایتون، js، bash، docker، k8s یافت شده است.
– به اسکریپت های npm، تصاویر داکر و نصب اسناد اضافه می شود pic.twitter.com/rq3CBDw3r9

– استفن لیسی (@stephenlacy) 3 آگوست 2022

تاکنون پروژه‌های مختلفی از crypto، Golang، Python، js، Bash، Docker و Kubernetes تحت تأثیر این حمله قرار گرفته‌اند. حمله بدافزار تصاویر docker، نصب docs و اسکریپت npm را هدف قرار می‌دهد، که راهی مناسب برای بسته‌بندی دستورات پوسته رایج برای یک پروژه است.

برای فریب دادن توسعه‌دهندگان و دسترسی به داده‌های مهم، مهاجم ابتدا یک مخزن جعلی ایجاد می‌کند (یک مخزن شامل تمام فایل‌های پروژه و تاریخچه ویرایش هر فایل است) و کلون‌هایی از پروژه‌های قانونی را به GitHub می‌فرستد. به عنوان مثال، دو عکس فوری زیر این پروژه استخراج ارز دیجیتال قانونی و شبیه سازی آن را نشان می دهد.

بسیاری از این مخازن شبیه سازی به عنوان “درخواست کشش” تحت فشار قرار گرفتند. درخواست‌های کششی به توسعه‌دهندگان اجازه می‌دهند تغییراتی را که به شعبه‌ای در یک مخزن در GitHub انجام داده‌اند، به دیگران اطلاع دهند.

مربوط: گزارش شده است که Nomad آسیب پذیری امنیتی را نادیده گرفته است که منجر به سوء استفاده 190 میلیون دلاری شده است

هنگامی که توسعه دهنده قربانی حمله بدافزار می شود، کل متغیر محیطی (ENV) اسکریپت، برنامه یا لپ تاپ (برنامه های الکترونیکی) به سرور مهاجم ارسال می شود. ENV شامل کلیدهای امنیتی، کلیدهای دسترسی AWS، کلیدهای ارز دیجیتال و موارد دیگر است.

توسعه‌دهنده مشکل را به GitHub گزارش کرده و به توسعه‌دهندگان توصیه کرده است که GPG ویرایش‌های خود را در مخزن امضا کنند. کلیدهای GPG با ارائه روشی برای تأیید اینکه همه ویرایش‌ها از یک منبع قابل اعتماد هستند، یک لایه امنیتی اضافی به حساب‌های GitHub و پروژه‌های نرم‌افزاری شما اضافه می‌کنند.