தி நிர்வாகிகள் குறியீடு ஹோஸ்டிங் தளம் கிட்ஹப், அவற்றின் மேகக்கணி உள்கட்டமைப்பு மீதான தொடர்ச்சியான தாக்குதல்களை தீவிரமாக ஆராய்ந்து வருகிறது, இந்த வகை தாக்குதல் சட்டவிரோத சுரங்க நடவடிக்கைகளை மேற்கொள்ள ஹேக்கர்கள் நிறுவனத்தின் சேவையகங்களைப் பயன்படுத்த அனுமதித்ததால் கிரிப்டோகரன்ஸிகளின்.
2020 ஆம் ஆண்டின் மூன்றாம் காலாண்டில், இவை கிட்ஹப் செயல்கள் எனப்படும் கிட்ஹப் அம்சத்தைப் பயன்படுத்துவதை அடிப்படையாகக் கொண்டது தாக்குதல்கள் பயனர்கள் தங்கள் கிட்ஹப் களஞ்சியங்களிலிருந்து ஒரு குறிப்பிட்ட நிகழ்வுக்குப் பிறகு தானாகவே பணிகளைத் தொடங்க இது அனுமதிக்கிறது.
இந்த சுரண்டலை அடைய, கிட்ஹப் செயல்களில் அசல் குறியீட்டில் தீங்கிழைக்கும் குறியீட்டை நிறுவுவதன் மூலம் ஹேக்கர்கள் முறையான களஞ்சியத்தை கட்டுப்படுத்தினர். மாற்றியமைக்கப்பட்ட குறியீட்டை முறையான குறியீட்டோடு இணைக்க அசல் களஞ்சியத்திற்கு எதிராக இழுக்க கோரிக்கை விடுங்கள்.
கிட்ஹப் மீதான தாக்குதலின் ஒரு பகுதியாக, ஒரே தாக்குதலில் 100 கிரிப்டோகரன்சி சுரங்கத் தொழிலாளர்கள் வரை ஹேக்கர்கள் இயங்கக்கூடும் என்று பாதுகாப்பு ஆய்வாளர்கள் தெரிவித்தனர், கிட்ஹப் உள்கட்டமைப்பில் மிகப்பெரிய கணக்கீட்டு சுமைகளை உருவாக்குகிறது. இதுவரை, இந்த ஹேக்கர்கள் தோராயமாக மற்றும் பெரிய அளவில் செயல்படுவதாகத் தெரிகிறது.
தீங்கிழைக்கும் குறியீட்டைக் கொண்ட நூற்றுக்கணக்கான புதுப்பிப்பு கோரிக்கைகளை குறைந்தபட்சம் ஒரு கணக்கு செயல்படுத்துகிறது என்று ஆராய்ச்சி வெளிப்படுத்தியுள்ளது. இப்போது, தாக்குபவர்கள் கிட்ஹப் பயனர்களை தீவிரமாக குறிவைப்பதாகத் தெரியவில்லை, அதற்கு பதிலாக கிரிப்டோ சுரங்க செயல்பாட்டை ஹோஸ்ட் செய்ய கிட்ஹப்பின் கிளவுட் உள்கட்டமைப்பைப் பயன்படுத்துவதில் கவனம் செலுத்துகின்றனர்.
டச்சு பாதுகாப்பு பொறியாளர் ஜஸ்டின் பெர்டோக் தி ரெக்கார்டிடம், குறைந்தது ஒரு ஹேக்கர் கிட்ஹப் களஞ்சியங்களை குறிவைக்கிறார், அங்கு கிட்ஹப் நடவடிக்கைகள் செயல்படுத்தப்படலாம்.
தாக்குதலில் ஒரு முறையான களஞ்சியத்தை உருவாக்குவது, அசல் குறியீட்டில் தீங்கிழைக்கும் கிட்ஹப் செயல்களைச் சேர்ப்பது, பின்னர் குறியீட்டை அசலுடன் இணைக்க அசல் களஞ்சியத்துடன் ஒரு இழுப்பு கோரிக்கையைச் சமர்ப்பித்தல் ஆகியவை அடங்கும்.
இந்த தாக்குதலின் முதல் வழக்கு நவம்பர் 2020 இல் பிரான்சில் ஒரு மென்பொருள் பொறியாளரால் தெரிவிக்கப்பட்டது. முதல் சம்பவத்திற்கு அதன் எதிர்வினை போலவே, கிட்ஹப் சமீபத்திய தாக்குதலை தீவிரமாக விசாரிப்பதாகக் கூறினார். எவ்வாறாயினும், பாதிக்கப்பட்ட கணக்குகளை நிறுவனம் கண்டறிந்து செயலிழக்கச் செய்தவுடன் ஹேக்கர்கள் புதிய கணக்குகளை உருவாக்குவதால், கிட்ஹப் தாக்குதல்களில் வந்து செல்கிறார்.
கடந்த ஆண்டு நவம்பரில், கூகிள் ஐடி பாதுகாப்பு நிபுணர்களின் குழு 0 நாள் பாதிப்புகளைக் கண்டறியும் பணியில் கிட்ஹப் இயங்குதளத்தில் பாதுகாப்பு குறைபாட்டை அம்பலப்படுத்தியது. இதை கண்டுபிடித்த திட்ட ஜீரோ குழு உறுப்பினர் பெலிக்ஸ் வில்ஹெல்மின் கூற்றுப்படி, குறைபாடு டெவலப்பர்களின் பணிகளை தானியக்கமாக்குவதற்கான ஒரு கருவியான கிட்ஹப் செயல்களின் செயல்பாட்டையும் பாதித்தது. செயல்கள் பணிப்பாய்வு கட்டளைகள் "ஊசி தாக்குதல்களுக்கு பாதிக்கப்படக்கூடியவை" என்பதே இதற்குக் காரணம்:
கிதுப் செயல்கள் பணிப்பாய்வு கட்டளைகள் எனப்படும் அம்சத்தை ஆதரிக்கின்றன அதிரடி தரகர் மற்றும் மேற்கொள்ளப்படும் செயலுக்கு இடையிலான தொடர்பு சேனலாக. பணிப்பாய்வு கட்டளைகள் ரன்னர் / src / Runner.Worker / ActionCommandManager.cs இல் செயல்படுத்தப்படுகின்றன மற்றும் இரண்டு கட்டளை குறிப்பான்களில் ஒன்றிற்காக செய்யப்படும் அனைத்து செயல்களின் STDOUT ஐ பாகுபடுத்துவதன் மூலம் வேலை செய்கின்றன.
GitHub செயல்கள் GitHub Free, GitHub Pro, GitHub Free for Organizations, GitHub Team, GitHub Enterprise Cloud, GitHub Enterprise Server, GitHub One, மற்றும் GitHub AE கணக்குகளில் கிடைக்கிறது. பழைய திட்டங்களைப் பயன்படுத்தி கணக்குகளுக்குச் சொந்தமான தனியார் களஞ்சியங்களுக்கு கிட்ஹப் செயல்கள் கிடைக்கவில்லை.
கிரிப்டோகரன்சி சுரங்க செயல்பாடு பொதுவாக நிர்வாகி அல்லது பயனர் அனுமதியின்றி பின்னணியில் மறைக்கப்படுகிறது அல்லது இயக்கப்படுகிறது. தீங்கிழைக்கும் கிரிப்டோ சுரங்கத்தில் இரண்டு வகைகள் உள்ளன:
- பைனரி பயன்முறை: அவை கிரிப்டோகரன்ஸிகளை சுரங்கப்படுத்தும் நோக்கத்துடன் இலக்கு சாதனத்தில் பதிவிறக்கம் செய்யப்பட்டு தீங்கிழைக்கும் பயன்பாடுகள். சில பாதுகாப்பு தீர்வுகள் இந்த பயன்பாடுகளில் பெரும்பாலானவை ட்ரோஜான்கள் என அடையாளம் காண்கின்றன.
- உலாவி பயன்முறை - இது ஒரு வலைப்பக்கத்தில் (அல்லது அதன் சில கூறுகள் அல்லது பொருள்கள்) பதிக்கப்பட்ட தீங்கிழைக்கும் ஜாவாஸ்கிரிப்ட் குறியீடாகும், இது தள பார்வையாளர்களின் உலாவிகளில் இருந்து கிரிப்டோகரன்ஸியைப் பிரித்தெடுக்க வடிவமைக்கப்பட்டுள்ளது. கிரிப்டோஜாகிங் எனப்படும் இந்த முறை 2017 ஆம் ஆண்டின் நடுப்பகுதியில் இருந்து சைபர் கிரைமினல்கள் மத்தியில் பெருகிய முறையில் பிரபலமாக உள்ளது. சில பாதுகாப்பு தீர்வுகள் இந்த கிரிப்டோஜாகிங் ஸ்கிரிப்ட்களில் பெரும்பாலானவை தேவையற்ற பயன்பாடுகளாகக் கண்டறிந்துள்ளன.