GitHub menghadapi serangan malware yang meluas yang menjejaskan projek, termasuk crypto

Platform pembangun utama GitHub menghadapi serangan perisian hasad yang meluas dan melaporkan 35,000 "kod kod" pada hari yang menyaksikan beribu-ribu dompet berasaskan Solana habis berjuta-juta dolar.

Serangan meluas itu diserlahkan oleh pemaju GitHub Stephen Lucy, yang pertama kali melaporkan kejadian itu lebih awal pada hari Rabu. Pembangun menemui isu itu semasa menyemak projek yang ditemuinya pada carian Google.

Saya sedang mendedahkan apa yang nampaknya merupakan serangan malware yang meluas secara besar-besaran @github.
– Pada masa ini lebih 35k repositori dijangkiti
– Setakat ini ditemui dalam projek termasuk: crypto, golang, python, js, bash, docker, k8s
– Ia ditambahkan pada skrip npm, imej docker dan memasang dokumen pic.twitter.com/rq3CBDw3r9
— Stephen Lacy (@stephenlacy) Ogos 3, 2022

Setakat ini, pelbagai projek — daripada crypto, Golang, Python, JavaScript, Bash, Docker dan Kubernetes — didapati terjejas oleh serangan itu. Serangan perisian hasad disasarkan pada imej docker, pasang dokumen dan skrip NPM, yang merupakan cara mudah untuk menggabungkan arahan shell biasa untuk projek.

Untuk menipu pembangun dan mengakses data kritikal, penyerang mula-mula mencipta repositori palsu (repositori mengandungi semua fail projek dan sejarah semakan setiap fail) dan menolak klon projek sah ke GitHub. Sebagai contoh, dua gambar berikut menunjukkan projek penambang kripto yang sah ini dan klonnya.

*Projek perlombongan kripto asal. Sumber: Github*

*Projek perlombongan kripto klon. Sumber: Github*

Kebanyakan repositori klon ini ditolak sebagai "permintaan tarik", yang membolehkan pembangun memberitahu orang lain tentang perubahan yang telah mereka tolak ke cawangan dalam repositori di GitHub.

Berkaitan: Nomad dilaporkan tidak mengendahkan kelemahan keselamatan yang membawa kepada eksploitasi $190 juta

Sebaik sahaja pembangun menjadi mangsa serangan perisian hasad, keseluruhan pembolehubah persekitaran (ENV) skrip, aplikasi atau komputer riba (apl Elektron) dihantar ke pelayan penyerang. ENV termasuk kunci keselamatan, kunci akses Perkhidmatan Web Amazon, kunci kripto dan banyak lagi.

Pembangun telah melaporkan isu ini kepada GitHub dan menasihati pembangun untuk GPG-menandatangani semakan mereka yang dibuat pada repositori. Kunci GPG menambah lapisan keselamatan tambahan pada akaun GitHub dan projek perisian dengan menyediakan cara untuk mengesahkan semua semakan datang daripada sumber yang dipercayai.