يواجه GitHub هجمات برمجية ضارة واسعة النطاق تؤثر على المشاريع ، بما في ذلك التشفير

واجهت منصة المطورين الرئيسية GitHub هجومًا ضارًا واسع النطاق وأبلغت عن 35000 "زيارة رمز" في يوم شهد الآلاف من Solana (شمس ) - استنزاف المحافظ المستندة إلى ملايين الدولارات.

وسلط ستيفن لوسي ، مطور جيثب ، الضوء على الهجوم الواسع النطاق الذي أبلغ عن الحادث لأول مرة في وقت سابق يوم الأربعاء. واجه المطور المشكلة أثناء مراجعة مشروع وجده على بحث Google.

أنا أكتشف ما يبدو أنه هجوم ضار واسع النطاق علىتضمين التغريدة .

- يوجد حاليًا أكثر من 35 ألف مستودعات مصابة
- وجدت حتى الآن في المشاريع بما في ذلك: crypto و golang و python و js و bash و docker و k8s
- يضاف إلى البرامج النصية npm وصور عامل الإرساء وتثبيت المستنداتpic.twitter.com/rq3CBDw3r9
- ستيفن لاسي (stephenlacy)3 أغسطس 2022

حتى الآن ، تم العثور على مشاريع مختلفة من crypto و Golang و Python و js و Bash و Docker و Kubernetes متأثرة بالهجوم. يستهدف هجوم البرامج الضارة صور عامل الإرساء وتثبيت المستندات و npm النصي ، وهي طريقة ملائمة لتجميع أوامر shell الشائعة لمشروع ما.

لخداع المطورين والوصول إلى البيانات الهامة ، ينشئ المهاجم أولاً مستودعًا مزيفًا (يحتوي المستودع على جميع ملفات المشروع وكل سجل مراجعة لكل ملف) ويدفع نسخ المشاريع الشرعية إلى GitHub. على سبيل المثال ، تُظهر اللقطتان التاليتان مشروع عامل التعدين الشرعي هذا واستنساخه.

مشروع تعدين التشفير الأصلي المصدر: Gفرصة

مصدر مشروع تعدين العملات المشفرة المستنسخة:جيثب

تم دفع العديد من مستودعات النسخ هذه على أنها "طلبات سحب". تتيح طلبات السحب للمطورين إخبار الآخرين بالتغييرات التي دفعوها إلى فرع في مستودع على GitHub.

متعلق ب:وبحسب ما ورد تجاهل Nomad ثغرة أمنية أدت إلى ثغرة بقيمة 190 مليون دولار

بمجرد أن يقع المطور فريسة لهجوم البرامج الضارة ، يتم إرسال متغير البيئة بالكامل (ENV) للبرنامج النصي أو التطبيق أو الكمبيوتر المحمول (تطبيقات الإلكترون) إلى خادم المهاجم. يتضمن ENV مفاتيح الأمان ومفاتيح الوصول إلى AWS ومفاتيح التشفير وغير ذلك الكثير.

قام المطور بإبلاغ GitHub بالمشكلة ونصح المطورين بتوقيع GPG على مراجعاتهم التي تم إجراؤها على المستودع. تضيف مفاتيح GPG طبقة إضافية من الأمان إلى حسابات GitHub ومشاريع البرامج الخاصة بك من خلال توفير طريقة للتحقق من أن جميع المراجعات تأتي من مصدر موثوق.