Ang GitHub ay nahaharap sa malawakang pag-atake ng malware na nakakaapekto sa mga proyekto, kabilang ang crypto

Ang pangunahing platform ng developer na GitHub ay nahaharap sa malawakang pag-atake ng malware at nag-ulat ng 35,000 "mga hit ng code" sa isang araw na nakakita ng libu-libong mga wallet na nakabase sa Solana na naubos para sa milyun-milyong dolyar.

Ang malawakang pag-atake ay na-highlight ng developer ng GitHub na si Stephen Lucy, na unang nag-ulat ng insidente noong Miyerkules. Nakita ng developer ang isyu habang sinusuri ang isang proyektong nakita niya sa isang paghahanap sa Google.

Natutuklasan ko ang tila isang malawakang pag-atake ng malware @github.

– Kasalukuyang mahigit 35k repositoryo ang nahawahan
– Sa ngayon ay natagpuan sa mga proyekto kabilang ang: crypto, golang, python, js, bash, docker, k8s
- Ito ay idinagdag sa mga script ng npm, mga imahe ng docker at pag-install ng mga doc pic.twitter.com/rq3CBDw3r9

— Stephen Lacy (@stephenlacy) Agosto 3, 2022

Sa ngayon, iba't ibang mga proyekto — mula sa crypto, Golang, Python, JavaScript, Bash, Docker at Kubernetes — ay natagpuang apektado ng pag-atake. Ang pag-atake ng malware ay naka-target sa mga docker na imahe, pag-install ng mga doc at NPM script, na isang maginhawang paraan upang i-bundle ang mga karaniwang shell command para sa isang proyekto.

Upang linlangin ang mga developer at ma-access ang kritikal na data, gagawa muna ang attacker ng pekeng repository (naglalaman ang isang repositoryo ng lahat ng file ng proyekto at kasaysayan ng pagbabago ng bawat file) at itinutulak ang mga clone ng mga legit na proyekto sa GitHub. Halimbawa, ipinapakita ng sumusunod na dalawang snapshot ang legit na crypto miner project na ito at ang clone nito.

Marami sa mga clone na repository na ito ay itinulak bilang "mga kahilingan sa paghila," na nagbibigay-daan sa mga developer na sabihin sa iba ang tungkol sa mga pagbabagong itinulak nila sa isang sangay sa isang repositoryo sa GitHub.

Nauugnay: Iniulat na hindi pinansin ng Nomad ang kahinaan sa seguridad na humantong sa $190M na pagsasamantala

Kapag nabiktima ang developer sa pag-atake ng malware, ang buong environment variable (ENV) ng script, application o laptop (Electron apps) ay ipapadala sa server ng attacker. Kasama sa ENV ang mga security key, mga access key ng Amazon Web Services, mga crypto key at marami pang iba.

Iniulat ng developer ang isyu sa GitHub at pinayuhan ang mga developer na lagdaan ng GPG ang kanilang mga pagbabagong ginawa sa repositoryo. Ang mga GPG key ay nagdaragdag ng karagdagang layer ng seguridad sa mga GitHub account at software project sa pamamagitan ng pagbibigay ng paraan ng pag-verify na ang lahat ng mga rebisyon ay nagmumula sa isang pinagkakatiwalaang pinagmulan.