Hoewel de energiekosten momenteel het belangrijkste kritiekpunt zijn op cryptominers, is er de afgelopen maanden een ander probleem opgedoken op cloudcomputingplatforms . Sommige groepen miners misbruiken namelijk de gratis abonnementen van clouddiensten om cryptovaluta te minen.
Verschillende CI-diensten (continuous integration) klagen nu over deze bendes die, na eerder al te zijn genoemd in verband met aanvallen op en het kapen van onbeveiligde servers, gratis accounts aanmaken op hun platform en vervolgens overstappen op nieuwe gratis accounts totdat de proefperiode is afgelopen.
Hoewel cryptocurrencies alleen in de digitale wereld bestaan, vindt achter de schermen een gigantische fysieke operatie plaats die 'mining' wordt genoemd.
De bendes opereren door accounts aan te maken op bepaalde platforms, zich te abonneren op een gratis abonnement en een applicatie voor het minen van cryptovaluta te draaien op de infrastructuur van de aanbieder. Zodra de proefperiodes of gratis credits op zijn, registreren de groepen een nieuw account en beginnen ze opnieuw. Hierdoor worden de servers van de aanbieder overbelast en worden de normale werkzaamheden vertraagd.
De lijst met diensten die op deze manier zijn misbruikt, omvat onder andere GitHub, GitLab, Microsoft Azure, Travis CI, Layer CI, Circle CI, Render, CloudBees CodeShip, Sourcehut en Okteto . De afgelopen maanden hebben ontwikkelaars hun eigen verhalen gedeeld over soortgelijk misbruik dat ze op andere platforms hebben gezien, en sommige van deze bedrijven hebben zich gemeld om soortgelijke ervaringen te delen.
Het meeste misbruik hiervan komt voor bij bedrijven die diensten voor continue integratie (CI) aanbieden. Continue integratie is de praktijk van het automatiseren van de integratie van codeaanpassingen van meerdere bijdragers in één softwareproject. Dit is een toonaangevende DevOps-praktijk, waarmee ontwikkelaars regelmatig codeaanpassingen kunnen samenvoegen in een centrale repository waar vervolgens builds en tests worden uitgevoerd.
Geautomatiseerde tools worden gebruikt om de nauwkeurigheid van nieuwe code te controleren vóór integratie. Een versiebeheersysteem voor broncode is essentieel voor het CI-proces. Dit systeem wordt aangevuld met andere controles, zoals geautomatiseerde codekwaliteitstests, tools voor syntaxcontrole, enzovoort.
In de praktijk wordt door de cloud gehoste CI bereikt door een nieuwe virtuele machine te maken die het bouw-, pakket- en testproces uitvoert en het resultaat vervolgens doorgeeft aan een projectmanager.
Cryptocurrency mining-bendes realiseerden zich dat ze dit proces konden misbruiken om hun eigen code toe te voegen en deze virtuele CI-machine cryptocurrency-mining-operaties te laten uitvoeren om kleine winsten voor de aanvaller te genereren vóór de aanval. De beperkte levensduur van de VM verloopt en de VM wordt afgesloten door de cloudprovider.
Dit is hoe cryptocurrency-mijnbendes misbruik maakten van GitHub's Actions-functie, die een virtuele infrastructuurfunctie biedt aan GitHub-gebruikers, om de site te minen en crypto te minen met GitHub's eigen servers.
GitHub en GitLab zijn niet de enige CI-providers die met dit misbruik te maken hebben gehad. Volgens het rapport kampten Microsoft Azure, LayerCI, Sourcehut, CodeShip en vele andere platforms met deze praktijken.
Een bedrijf als GitLab kan het zich vanwege zijn grotere omvang nog steeds veroorloven om het aanbod van gratis CI's voor zijn gebruikers te behouden door andere manieren te vinden om misbruik door cryptominers te voorkomen. Maar andere kleine IC-aanbieders kunnen dat niet. Afgelopen dinsdag zeiden Sourcehut en TravisCI, in hun beslissingen om hun betalende klanten te beschermen die een verslechtering van de service zagen, dat ze van plan zijn om te stoppen met het aanbieden van hun gratis IQ-niveaus vanwege aanhoudend misbruik.
Hoewel het intrekken van gratis aanbiedingen voor serviceproviders een manier kan zijn om misbruik te beperken, is het niet de beste oplossing voor individuele ontwikkelaars die deze aanbiedingen gebruiken voor hun open-sourceprojecten. Een alternatieve oplossing, zoals Berrelleza voorstelt, zou zijn om geautomatiseerde systemen in te zetten die dit misbruik detecteren en erop reageren . Het bouwen van dergelijke systemen vereist echter middelen die sommige bedrijven niet kunnen vrijmaken, en er is geen garantie dat deze systemen naar behoren zullen werken.