Während die Energiekosten heute der Hauptkritikpunkt an Kryptowährungs-Minern sind , ist in den letzten Monaten ein weiteres Problem auf Cloud-Computing-Plattformen aufgetreten , da einige Gruppen von Minern kostenlose Tarife von Cloud-Service-Plattformen missbrauchen, um Kryptowährungen zu schürfen.
Nachdem sie bereits wegen Angriffen und Übernahmen ungepatchter Server in der Kritik standen, beschweren sich nun mehrere Anbieter von Continuous-Integration-Diensten (CI). Diese Banden registrieren kostenlose Konten auf ihrer Plattform, bevor sie zu neuen kostenlosen Konten wechseln und diese bis zum Ablauf der Testphase nutzen.
Obwohl Kryptowährungen nur in der digitalen Welt existieren, findet hinter den Kulissen ein gigantischer physischer Vorgang namens „Mining“ statt.
Die Banden gehen so vor, dass sie Konten auf bestimmten Plattformen registrieren, sich für ein kostenloses Angebot anmelden und eine Anwendung zum Schürfen von Kryptowährungen auf der Infrastruktur des Anbieters ausführen. Sobald die Testphase oder das kostenlose Guthaben aufgebraucht ist, registrieren die Gruppen ein neues Konto und beginnen den Vorgang von neuem. Dadurch bleiben die Server des Anbieters an ihrer Kapazitätsgrenze und der normale Betrieb wird beeinträchtigt.
Zu den Diensten, die auf diese Weise missbraucht wurden, gehören unter anderem GitHub, GitLab, Microsoft Azure, Travis CI, Layer CI, Circle CI, Render, CloudBees CodeShip, Sourcehut und Okteto . In den letzten Monaten haben Entwickler ähnliche Missbrauchsfälle auf anderen Plattformen gemeldet, und einige der betroffenen Unternehmen haben ihre Erfahrungen bestätigt.
Der Großteil dieses Missbrauchs tritt in Unternehmen auf, die Continuous-Integration -Dienste (CI) anbieten. Continuous Integration ist die Praxis, die Integration von Codeänderungen mehrerer Mitwirkender in ein einzelnes Softwareprojekt zu automatisieren. Dies ist eine führende DevOps-Praxis, die es Entwicklern ermöglicht, Codeänderungen regelmäßig in ein zentrales Repository zusammenzuführen, wo anschließend Builds und Tests ausgeführt werden.
Automatisierte Tools dienen der Überprüfung der Korrektheit neuen Codes vor der Integration. Ein Versionskontrollsystem ist grundlegend für den CI-Prozess. Ergänzt wird es durch weitere Prüfungen, wie beispielsweise automatisierte Codequalitätstests und Syntaxprüfungen.
In der Praxis wird Cloud-gehostetes CI dadurch erreicht, dass eine neue virtuelle Maschine erstellt wird, die den Build-, Paket- und Testprozess ausführt und das Ergebnis dann an einen Projektmanager übermittelt.
Kryptowährungs-Mining-Banden erkannten, dass sie diesen Prozess missbrauchen könnten, um ihren eigenen Code hinzuzufügen und diese virtuelle CI-Maschine Kryptowährungs-Mining-Operationen durchführen zu lassen, um vor dem Angriff kleine Gewinne für den Angreifer zu generieren. Die begrenzte Lebensdauer der VM läuft ab und die VM wird vom Cloud-Anbieter heruntergefahren.
Auf diese Weise missbrauchten Kryptowährungs-Mining-Banden die GitHub-Aktionsfunktion, die GitHub-Benutzern eine virtuelle Infrastrukturfunktion bietet, um die Website zu schürfen und Kryptowährungen mit den eigenen Servern von GitHub zu schürfen.
GitHub und GitLab sind nicht die einzigen CI-Anbieter , die mit diesem Missbrauch konfrontiert wurden. Laut dem Bericht hatten auch Microsoft Azure, LayerCI, Sourcehut, CodeShip und viele andere Plattformen mit dieser Problematik zu kämpfen.
Ein Unternehmen wie GitLab kann es sich aufgrund seiner größeren Größe immer noch leisten, sein CI-Angebot für seine Benutzer kostenlos zu halten, indem es andere Wege findet, um Missbrauch durch Kryptominer zu verhindern. Aber andere kleine IC-Anbieter können das nicht. Letzten Dienstag gaben Sourcehut und TravisCI in ihren Entscheidungen zum Schutz ihrer zahlenden Kunden, die Serviceeinbußen sahen, bekannt, dass sie planen, ihre kostenlosen CI-Stufen aufgrund anhaltenden Missbrauchs nicht mehr anzubieten.
Die Abschaffung kostenloser Angebote für Serviceanbieter mag zwar ein Weg sein, den Missbrauch einzudämmen, ist aber nicht die beste Lösung für Einzelentwickler, die diese Angebote für ihre Open-Source-Projekte nutzen. Eine Alternative, wie Berrelleza vorschlägt, wäre der Einsatz automatisierter Systeme, die diesen Missbrauch erkennen und darauf reagieren . Die Entwicklung solcher Systeme erfordert jedoch Ressourcen, die manche Unternehmen nicht bereitstellen können, und es gibt keine Garantie dafür, dass diese Systeme wie erwartet funktionieren.