GitHub се соочува со широко распространети напади на малициозен софтвер кои влијаат на проектите, вклучително и крипто

Големата програмерска платформа GitHub се соочи со широко распространет напад на малициозен софтвер и пријави 35,000 „хитови на код“ на ден кога илјадници паричници базирани на Солана беа исцедени за милиони долари.

Распространетиот напад беше истакнат од развивачот на GitHub Стивен Луси, кој прв го пријави инцидентот претходно во средата. Програмерот наиде на проблемот додека разгледуваше проект што го најде на пребарување на Google.

Откривам нешто што се чини дека е масовен раширен напад на малициозен софтвер @github.

– Во моментов се заразени над 35 илјади складишта
- Досега пронајден во проекти вклучувајќи: крипто, голанг, python, js, bash, docker, k8s
- Се додава во скрипти npm, слики на докер и инсталирање документи pic.twitter.com/rq3CBDw3r9

- Стивен Лејси (@stephenlacy) Август 3, 2022

Досега, различни проекти - од крипто, Golang, Python, JavaScript, Bash, Docker и Kubernetes - беа откриени дека се погодени од нападот. Нападот на малициозен софтвер е насочен кон сликите на докерот, инсталирајте документи и NPM скрипта, што е пригоден начин за здружување на вообичаените команди на школка за проект.

За да ги измами програмерите и да пристапи до критичните податоци, напаѓачот прво создава лажно складиште (складиштето ги содржи сите датотеки на проектот и историјата на ревизија на секоја датотека) и турка клонови на легитимни проекти во GitHub. На пример, следните две снимки го прикажуваат овој легален проект за крипто-рудар и неговиот клон.

Многу од овие складишта за клонови беа туркани како „барања за повлекување“, што им дозволува на програмерите да им кажат на другите за промените што ги притиснале во филијалата во складиштето на GitHub.

Поврзани со: Номад, наводно, ја игнорирал безбедносната ранливост што довело до експлоатација од 190 милиони долари

Откако развивачот ќе стане жртва на нападот на малициозен софтвер, целата променлива на околината (ENV) на скриптата, апликацијата или лаптопот (Електронски апликации) се испраќа до серверот на напаѓачот. ENV вклучува безбедносни клучеви, клучеви за пристап до веб-услугите на Amazon, крипто клучеви и многу повеќе.

Програмерот го пријавил проблемот до GitHub и ги советувал програмерите да ги потпишат GPG нивните ревизии направени во складиштето. Копчињата GPG додаваат дополнителен слој на безбедност на сметките и софтверските проекти на GitHub со тоа што обезбедуваат начин да се потврди дека сите ревизии доаѓаат од доверлив извор.