Ενώ το κόστος της ενέργειας είναι η νούμερο ένα κριτική κατά των miners κρυπτονομισμάτων σήμερα, ένα άλλο πρόβλημα έχει αναδυθεί στις πλατφόρμες cloud computing τους τελευταίους μήνες, καθώς ορισμένες ομάδες miners καταχρώνται δωρεάν επίπεδα πλατφορμών υπηρεσιών cloud για την εξόρυξη κρυπτονομισμάτων.
Προηγουμένως αναφερόμενες στην επίθεση και την παραβίαση μη ενημερωμένων διακομιστών, αρκετές υπηρεσίες συνεχούς ενσωμάτωσης (CI) παραπονιούνται τώρα για αυτές τις συμμορίες, οι οποίες εγγράφουν δωρεάν λογαριασμούς στην πλατφόρμα τους πριν προχωρήσουν σε νέους δωρεάν λογαριασμούς μέχρι το όριο της δοκιμαστικής περιόδου.
Αν και τα κρυπτονομίσματα υπάρχουν μόνο στον ψηφιακό κόσμο, μια τεράστια φυσική λειτουργία που ονομάζεται "εξόρυξη" πραγματοποιείται πίσω από τα παρασκήνια.
Οι συμμορίες λειτουργούν καταχωρώντας λογαριασμούς σε συγκεκριμένες πλατφόρμες, εγγράφοντας σε μια δωρεάν βαθμίδα και εκτελώντας μια εφαρμογή εξόρυξης κρυπτονομισμάτων στην υποδομή δωρεάν βαθμίδας του παρόχου. Μόλις οι δοκιμαστικές περίοδοι ή οι δωρεάν μονάδες φτάσουν στο όριό τους, οι ομάδες καταχωρούν έναν νέο λογαριασμό και ξεκινούν ξανά τη διαδικασία, διατηρώντας τους διακομιστές του παρόχου στο ανώτερο όριο χρήσης τους και επιβραδύνοντας τις κανονικές λειτουργίες.
Η λίστα με τις υπηρεσίες που έχουν υποστεί κατάχρηση με αυτόν τον τρόπο περιλαμβάνει υπηρεσίες όπως το GitHub, το GitLab, το Microsoft Azure, το Travis CI, το Layer CI, το Circle CI, το Render, το CloudBees CodeShip, το Sourcehut και το Okteto . Τους τελευταίους μήνες, οι προγραμματιστές έχουν μοιραστεί τις δικές τους ιστορίες παρόμοιας κατάχρησης που έχουν δει σε άλλες πλατφόρμες και ορισμένες από αυτές τις εταιρείες έχουν εμφανιστεί για να μοιραστούν παρόμοιες εμπειρίες.
Το μεγαλύτερο μέρος αυτής της κακής χρήσης συμβαίνει σε εταιρείες που παρέχουν υπηρεσίες συνεχούς ενσωμάτωσης (CI). Η συνεχής ενσωμάτωση είναι η πρακτική της αυτοματοποίησης της ενσωμάτωσης αλλαγών κώδικα από πολλαπλούς συντελεστές σε ένα μόνο έργο λογισμικού. Πρόκειται για μια κορυφαία πρακτική DevOps, που επιτρέπει στους προγραμματιστές να συγχωνεύουν συχνά αλλαγές κώδικα σε ένα κεντρικό αποθετήριο όπου εκτελούνται οι κατασκευές και οι δοκιμές.
Χρησιμοποιούνται αυτοματοποιημένα εργαλεία για την επαλήθευση της ακρίβειας του νέου κώδικα πριν από την ενσωμάτωση. Ένα σύστημα ελέγχου έκδοσης πηγαίου κώδικα είναι θεμελιώδες για τη διαδικασία CI. Το σύστημα ελέγχου έκδοσης συμπληρώνεται επίσης από άλλους ελέγχους, όπως αυτοματοποιημένους ελέγχους ποιότητας κώδικα, εργαλεία ελέγχου σύνταξης και ούτω καθεξής.
Στην πράξη, το CI που φιλοξενείται στο cloud επιτυγχάνεται με τη δημιουργία μιας νέας εικονικής μηχανής που εκτελεί τη διαδικασία κατασκευής, πακέτου και δοκιμής και στη συνέχεια μεταδίδει το αποτέλεσμα σε έναν διαχειριστή έργου.
Οι συμμορίες εξόρυξης κρυπτονομισμάτων συνειδητοποίησαν ότι θα μπορούσαν να κάνουν κατάχρηση αυτής της διαδικασίας για να προσθέσουν τον δικό τους κώδικα και να κάνουν αυτή την εικονική μηχανή CI να εκτελεί εργασίες εξόρυξης κρυπτονομισμάτων για να δημιουργήσει μικρά κέρδη για τον εισβολέα πριν από την επίθεση. Η περιορισμένη διάρκεια ζωής του VM λήγει και η VM τερματίζεται από τον πάροχο cloud.
Έτσι οι συμμορίες εξόρυξης κρυπτονομισμάτων κακοποίησαν τη λειτουργία GitHub Actions, η οποία προσφέρει μια δυνατότητα εικονικής υποδομής στους χρήστες του GitHub, για να εξορύξει τον ιστότοπο και να εξορύξει κρυπτογράφηση με τους δικούς της διακομιστές του GitHub.
Το GitHub και το GitLab δεν είναι οι μόνοι πάροχοι CI που έχουν αντιμετωπίσει αυτήν την κατάχρηση. Οι Microsoft Azure, LayerCI, Sourcehut, CodeShip και πολλές άλλες πλατφόρμες έχουν αντιμετωπίσει δυσκολίες με αυτήν τη δραστηριότητα, σύμφωνα με την έκθεση.
Μια εταιρεία όπως η GitLab, λόγω του μεγαλύτερου μεγέθους της, μπορεί να διατηρήσει την προσφορά της δωρεάν CI για τους χρήστες της, βρίσκοντας άλλους τρόπους για την αποτροπή της κατάχρησης από τους κρυπτογράφους. Αλλά άλλοι μικροί πάροχοι IC δεν μπορούν. Την περασμένη Τρίτη, στις αποφάσεις τους για την προστασία των πελατών που πληρώνουν που είδαν την υποβάθμιση της υπηρεσίας, οι Sourcehut και TravisCI δήλωσαν ότι σκοπεύουν να σταματήσουν να προσφέρουν τα δωρεάν επίπεδα IQ λόγω της συνεχιζόμενης κατάχρησης.
Ωστόσο, ενώ η ανάκληση των προσφορών δωρεάν επιπέδου για τους παρόχους υπηρεσιών μπορεί να είναι ένας τρόπος για να περιοριστεί η κατάχρηση που βλέπουν, δεν είναι η καλύτερη λύση για τους solo προγραμματιστές που χρησιμοποιούν αυτές τις προσφορές για τα έργα ανοιχτού κώδικα τους. Μια εναλλακτική λύση, όπως προτείνει ο Berrelleza, θα ήταν η ανάπτυξη αυτοματοποιημένων συστημάτων που ανιχνεύουν και ανταποκρίνονται σε αυτήν την κατάχρηση . Ωστόσο, η κατασκευή τέτοιων συστημάτων απαιτεί πόρους που ορισμένες εταιρείες δεν μπορούν να διαθέσουν και δεν υπάρχει καμία εγγύηση ότι αυτά τα συστήματα θα λειτουργήσουν όπως αναμένεται.