Rinn hackers feum de luchd-frithealaidh GitHub airson mèinnearachd cryptocurrency

a ' luchd-rianachd an àrd-ùrlar aoigheachd còd Tha GitHub, gu gnìomhach a ’sgrùdadh sreath de dh’ ionnsaighean air a ’bhun-structar sgòthan aca, leis gu robh an seòrsa ionnsaigh seo a ’leigeil le hackers luchd-frithealaidh a’ chompanaidh a chleachdadh gus obair mèinnearachd mì-laghail a dhèanamh de cryptocurrencies. 

Agus tha e rè an treas ràith de 2020, iad sin bha ionnsaighean stèidhichte air a bhith a ’dèanamh feum de fheart GitHub ris an canar GitHub Actions a leigeas le luchd-cleachdaidh gnìomhan a thòiseachadh gu fèin-ghluasadach às deidh tachartas sònraichte bho na stòran GitHub aca.

Gus an brath seo a choileanadh, ghabh hackers smachd air stòr dligheach le bhith a ’stàladh còd droch-rùnach anns a’ chòd tùsail air GitHub Actions agus an uairsin iarrtas tarraing a dhèanamh an aghaidh an ath-thasgadh tùsail gus an còd atharraichte a cheangal còmhla ris a ’chòd dhligheach.

Mar phàirt den ionnsaigh air GitHub, dh ’innis luchd-rannsachaidh tèarainteachd gum faodadh luchd-hackers suas ri 100 mèinneadair cryptocurrency a ruith ann an aon ionnsaigh, a ’cruthachadh luchdan mòra coimpiutaireachd air bun-structar GitHub. Gu ruige seo, tha coltas gu bheil na hackers sin ag obair air thuaiream agus air sgèile mhòr.

Tha rannsachadh air nochdadh gu bheil co-dhiù aon chunntas a ’cur an gnìomh ceudan de dh’ iarrtasan ùrachadh anns a bheil còd droch-rùnach. An-dràsta, chan eil coltas gu bheil an luchd-ionnsaigh a ’cuimseachadh gu gnìomhach air luchd-cleachdaidh GitHub, an àite sin a bhith ag amas air bun-structar sgòthan GitHub a chleachdadh gus aoigheachd a thoirt do ghnìomhachd mèinnearachd crypto.

Thuirt innleadair tèarainteachd Duitseach Justin Perdok ris a ’Chlàr gu bheil co-dhiù aon neach-tarraing ag amas air tasgaidhean GitHub far an gabhadh gnìomhan GitHub a chomasachadh.

Tha an ionnsaigh a ’toirt a-steach a bhith a’ brùthadh stòr dligheach, a ’cur gnìomhan droch-rùnach GitHub ris a’ chòd thùsail, agus an uairsin a ’cur a-steach iarrtas tarraing leis an ath-thasgadh tùsail gus an còd a cheangal ris an fhear thùsail.

Chaidh a ’chiad chùis den ionnsaigh seo aithris le innleadair bathar-bog san Fhraing san t-Samhain 2020. Coltach ris an fhreagairt aige don chiad tachartas, thuirt GitHub gu bheil e gu gnìomhach a’ sgrùdadh an ionnsaigh o chionn ghoirid. Ach, tha e coltach gu bheil GitHub a ’tighinn agus a’ dol anns na h-ionnsaighean, leis gu bheil luchd-tarraing dìreach a ’cruthachadh chunntasan ùra aon uair‘ s gu bheil na cunntasan gabhaltach air an lorg agus air an ciorramachadh leis a ’chompanaidh.

San t-Samhain an-uiridh, nochd sgioba de eòlaichean tèarainteachd IT Google a bha an urra ri bhith a ’lorg so-leòntachd 0-latha locht tèarainteachd ann an àrd-ùrlar GitHub. A rèir Felix Wilhelm, ball sgioba Project Zero a lorg e, thug an locht buaidh cuideachd air comasachd GitHub Actions, inneal airson obair luchd-leasachaidh a dhèanamh fèin-ghluasadach. Tha seo air sgàth gu bheil òrdughan sruth-obrach Gnìomhan "so-leònte ri ionnsaighean stealladh":

Tha Github Actions a ’toirt taic do fheart ris an canar òrdughan sruth-obrach mar dhòigh conaltraidh eadar am broker gnìomh agus an gnìomh a thathar a ’dèanamh. Tha òrdughan sruth-obrach air an cur an gnìomh ann an ruitheadair / src / Runner.Worker / ActionCommandManager.cs agus obair le bhith a ’parsadh STDOUT de gach gnìomh a chaidh a dhèanamh airson aon de na dà chomharran àithne.

Tha GitHub Actions ri fhaighinn air GitHub Free, GitHub Pro, GitHub Free for Organisations, Sgioba GitHub, GitHub Enterprise Cloud, GitHub Enterprise Server, GitHub One, agus cunntasan GitHub AE. Chan eil GitHub Actions ri fhaighinn airson tasgaidhean prìobhaideach a tha fo shealbh cunntasan a ’cleachdadh seann phlanaichean.

Mar as trice bidh gnìomhachd mèinnearachd cryptocurrency falaichte no air a ruith air a ’chùl gun chead rianadair no neach-cleachdaidh. Tha dà sheòrsa de mhèinneadh crypto droch-rùnach ann:

• Modh binary: tha iad nan tagraidhean droch-rùnach air an luchdachadh sìos agus air an stàladh air an inneal targaid leis an amas a bhith a ’mèinneadh cryptocurrencies. Bidh cuid de fhuasglaidhean tèarainteachd a ’comharrachadh a’ mhòr-chuid de na tagraidhean sin mar Trojans.
• Modh brabhsair - Is e seo còd JavaScript droch-rùnach a tha freumhaichte ann an duilleag-lìn (no cuid de na pàirtean no na stuthan aige), air a dhealbhadh gus cryptocurrency a thoirt a-mach à brobhsairean luchd-tadhail làraich. Tha an dòigh seo ris an canar cryptojacking air a bhith a ’sìor fhàs mòr-chòrdte le cybercriminals bho mheadhan 2017. Tha cuid de fhuasglaidhean tèarainteachd a’ lorg a ’mhòr-chuid de na sgriobtaichean cryptojacking sin mar thagraidhean a dh’ fhaodadh a bhith gun iarraidh.