Introducció: L'auge dels jocs de GitHub i els riscos que hi ha darrere de la diversió
Si alguna vegada has buscat Jocs de GitHub, probablement us heu trobat amb tot, des de jocs de trets basats en navegador fins a clons retro creats amb JavaScript o Python. Aquests projectes són divertits de provar, fàcils d'executar i sovint apareixen a tutorials o fòrums de YouTube. Com a resultat, s'han tornat especialment populars a les escoles, on els desenvolupadors i els estudiants sovint hi accedeixen a través de Jocs desbloquejats de GitHub o bifurcar-los de Jocs de GitHub iO pàgines.
A causa d'aquesta popularitat, tant els desenvolupadors com els estudiants clonen aquests repositoris, executen el codi i continuen sense pensar-s'ho gaire. Però aquí teniu el problema: no tots aquests jocs són el que semblen.
Alguns repositoris de jocs executen scripts d'instal·lació dubtosos. D'altres incorporen dependències obsoletes o vulnerables. Alguns fins i tot amaguen programari maliciós dins d'actius, contenidors o fitxers de desplegament. Com que molts desenvolupadors allotgen aquests projectes a través de Jocs de GitHub iO, el risc s'estén ràpidament i sovint passa desapercebut.
En aquesta publicació, explorarem com els repositoris de jocs poden convertir-se en una greu amenaça de seguretat. També us mostrarem com mantenir-vos segurs sense renunciar a la vostra curiositat ni a la vostra... CI/CD.
Per què els atacants ataquen els jocs de GitHub i els repositoris desbloquejats
A primera vista, els repositoris de jocs a GitHub semblen inofensius. Al cap i a la fi, sovint són petits experiments o projectes educatius creats per diversió. Tanmateix, els atacants ho veuen de manera diferent. En realitat, molts d'aquests... Els repositoris s'aprofiten com a plataformes de distribució de programari maliciós, sovint disfressats de Jocs de GitHub or Jocs desbloquejats de GitHub.
Per exemple, un actor d'amenaces conegut com a Goblin Stargazer opera una xarxa de més de 3,000 comptes fantasma de GitHub, batejada com la "Xarxa Fantasma dels Observadors d'Estrelles". Aquest grup crea estrelles, bifurcacions i observa deliberadament repositoris maliciosos per augmentar la seva visibilitat i legitimitat, normalment dirigint-se a usuaris que busquen eines o trucs de jocs. Aquests repositoris s'han utilitzat per distribuir lladres d'informació i ransomware com ara Atlantida Stealer, Rhadamanthys, Lumma Stealer i RedLine.
A més, una altra campanya sofisticada anomenada Maledicció de l'aigua ha convertit en arma almenys 76 comptes de GitHub, integrant programari maliciós multietapa en el que semblen eines legítimes. Les càrregues útils estan amagades en fitxers de projecte de Visual Studio (PreBuildEvent), implementant scripts ofuscats i binaris basats en Electron per al robatori de credencials, l'extracció de dades del navegador i la persistència a llarg termini. Els objectius inclouen desenvolupadors, equips DevOps i creadors de jocs.
Els atacants aprofiten el fet que molts desenvolupadors clonen jocs de GitHub per provar-los o aprendre'n sense revisar el codi. De la mateixa manera, els jocs de GitHub io, repositoris servits a través de pàgines de GitHub, poden allotjar JavaScript maliciós, imatges o scripts de redirecció que s'executen quan es carreguen en un navegador. Com que molts jocs de GitHub io es bifurquen i es reutilitzen sense una inspecció profunda, els atacants els utilitzen per introduir de contraban codi ofuscat, rastrejadors ocults o activadors de descàrrega. Aquestes tàctiques exploten la confiança que els desenvolupadors dipositen en els projectes de codi obert.
En resum, la popularitat dels repositoris de jocs i els projectes de joc desbloquejat els converteix en un terreny fèrtil per als atacants. Sense una selecció adequada, un desenvolupador curiós pot introduir programari maliciós al seu entorn simplement clonant o allotjant un repositori de jocs.
Voleu protegir tots els vostres projectes de GitHub?
Si us pregunteu com protegir els vostres repositoris de GitHub més enllà dels mods de joc, no us perdeu la nostra publicació detallada sobre permisos. pull requests, CI/CD integració i molt més.
Patrons de programari maliciós a jocs desbloquejats de GitHub i jocs d'E/S de GitHub
Quan els desenvolupadors exploren projectes etiquetats com a github unblocked games, molts semblen inofensius. Tanmateix, diversos patrons recurrents revelen amenaces greus que es poden passar fàcilment per alt.
Campanya: La maledicció de l'aigua
Trend Micro va descobrir una campanya anomenada Maledicció de l'aigua, en què almenys 76 comptes de GitHub repositoris allotjats com a armes que es fan passar per eines de desenvolupador o mods de joc. Aquests repositoris incorporen càrregues útils malicioses utilitzant <PreBuildEvent> etiquetes als fitxers de projecte del Visual Studio. Durant les compilacions, els scripts ofuscats de PowerShell o VBS descarreguen arxius ZIP xifrats, instal·len binaris basats en Electron i exfiltren credencials, dades del navegador i tokens de sessió. El programari maliciós també implementa la persistència mitjançant tasques programades i canvis al registre.
Pseudocodi als jocs de GitHub: ganxo
<PropertyGroup>
<PreBuildEvent>
powershell -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "download ZIP from GitHub → extract payload → run installer"
</PreBuildEvent>
</PropertyGroup>
Pseudocodi: Execució ofuscada de PowerShell
# decode base64 payload
payload = decode_base64('...')
# run in memory
execute_in_memory(payload)
Aquest exemple simplificat mostra com el codi maliciós evita les escriptures al disc descodificant-lo i executant-lo directament a la memòria.
Campanya: La maledicció de l'aigua
Trend Micro va identificar una operació d'amenaces coneguda com a Maledicció de l'aigua, on els atacants van utilitzar com a mínim 76 comptes de GitHub per allotjar repositoris armats. Aquests projectes semblaven ser eines de desenvolupador o mods de jocs. Internament, integraven lògica maliciosa als fitxers de compilació, especialment a través de <PreBuildEvent> etiqueta al Visual Studio .csproj arxius.
Les càrregues útils incloïen scripts de diverses etapes que descarregaven fitxers ZIP xifrats, extreien fitxers i executaven portes del darrere. A més, els atacants van afegir mecanismes de persistència mitjançant edicions del registre de Windows i tasques programades.
Exemple de pseudocodi: Visual Studio Build Hook
<PropertyGroup>
<PreBuildEvent>
powershell -Command "download ZIP from GitHub, extract payload, and run installer"
</PreBuildEvent>
</PropertyGroup>
Pseudocodi: Execució en memòria mitjançant PowerShell
# Decode and run base64 payload in memory
payload = decode_base64('...')
execute_in_memory(payload)
Aquesta tècnica evita escriure al disc, cosa que ajuda els atacants a evitar la detecció antivirus i a obtenir subjecció.
Campanya: Comptes de Goblin i Fantasma Stargazer
Check Point Research va documentar un altre atac a gran escala, que va revelar que Stargazers Ghost NetworkAquesta campanya va utilitzar més de 3,000 comptes falsos de GitHub per inflar estrelles, forquilles i observadors en repositoris maliciosos. L'objectiu era crear una falsa sensació de legitimitat.
Aquests comptes fantasma van ajudar a promoure programari maliciós com ara Atlantic Stealer, luma, Radamantisi Línia vermella, principalment dirigits a desenvolupadors i jugadors. En només quatre dies, una onada d'atac va infectar més de víctimes 1,300 difonent paquets de mods de joc modificats a través d'enllaços Discord i README.
Exemple de pseudocodi: README maliciós
# Ultimate Game Mod Pack 🕹️
Download and run the installer here:
[Download Now](https://github[dot]com/ghost/repo/releases/latest/modpack.zip)
Patrons comuns de programari maliciós als repositoris de jocs de GitHub
| patró | Descripció |
|---|---|
| Scripts de preinstal·lació / compilació | Scripts que s'executen automàticament durant la instal·lació o la compilació per obtenir i executar càrregues útils remotes, sovint sense que l'usuari ho sàpiga. |
| Typosquatting i forquilles falses | Projectes maliciosos que imiten els noms o l'estructura d'eines populars o repositoris de jocs per enganyar els desenvolupadors perquè els instal·lin. |
| Abús de pàgines de GitHub | JavaScript, imatges o redireccions amagades a les pàgines de `github io games` que desencadenen l'execució de scripts maliciosos en carregar la pàgina. |
| Senyals de popularitat falsos | Els comptes fantasma inflen artificialment estrelles, forquilles i observadors per fer que els repositoris maliciosos semblin fiables. |
Aquestes tècniques no són teòriques. Ja s'han observat en directe. campanyes de programari maliciós, molts dels quals es dirigien a desenvolupadors que utilitzaven repositoris de jocs com a punts d'entrada.
Afortunadament, algunes plataformes de seguretat poden detectar aquests patrons abans que causin danys. A la següent secció, mostrarem com Xygeni detecta, bloqueja i remedia aquestes amenaces a través del vostre SDLC.
Com Xygeni protegeix els jocs de GitHub, els projectes desbloquejats i CI/CD Pipelines
Quan apareixen patrons de risc als repositoris de jocs de GitHub, Xygeni proporciona una defensa completa per aturar les amenaces abans que comprometin els vostres sistemes o la cadena de subministrament.
1. Alerta primerenca: detecció de programari maliciós en temps real als jocs i dependències de GitHub
Xígeni analitza contínuament els paquets nous a través de NPM, Maven, PyPI i més. Això inclou paquets incrustats en llocs inesperats, com ara repositoris de jocs o projectes de jocs desbloquejats de GitHub compartits a través de fòrums o xarxes escolars. Si es troba un component sospitós, Xygeni el posa en quarantena automàticament, bloqueja el seu ús a les vostres dependències i envia alertes en temps real al vostre equip. Això evita que les càrregues útils malicioses entrin a la vostra base de codi o CI/CD pipeline.
2. Conscient de l'accessibilitat SCA amb priorització intel·ligent
En lloc d'aclaparar el teu equip amb alertes, Xígeni avalua si una vulnerabilitat s'utilitza realment al vostre codi (accessibilitat) i incorpora la puntuació de risc (EPSS, impacte empresarial) per a la llum els problemes més crítics. Això redueix significativament el soroll i garanteix que el vostre equip actuï en allò que realment importa.
3. Remediació automatitzada mitjançant Pull Requests
Quan es detecta una vulnerabilitat o una dependència maliciosa amb una solució coneguda, Xygeni crea automàticament una Pull Request per actualitzar o solucionar el problema. Això accelera el temps de resposta, limita el treball manual i manté el vostre pipeline segur.
4. CI/CD Controls de seguretat per bloquejar compilacions malicioses
Xygeni s'integra amb la compilació pipelines via GitHub Actions, Jenkins, GitLab, Azure Pipelines i altres. Analitza scripts de compilació, fitxers Docker i CI/CD configuracions per a ordres sospitoses, com ara shells inverses o scripts d'instal·lació, i pot bloquejar compilacions si es detecta codi perillós.
5. Construir integritat mitjançant atestacions compatibles amb SLSA
L' Build Security el mòdul crea atestacions signades seguint SLSA i in-toto standards, incrustar metadades a la font, dependències, SBOMi proves. Si es produeixen modificacions no autoritzades, la validació de l'atestat falla i el pipeline s’atura automàticament.
6. Detecció d'anomalies en SCM i artefactes de CI
Xygeni supervisa contínuament el vostre codi font i els entorns de CI per detectar comportaments inusuals, com ara commitevitant la protecció de branques, usuaris desconeguts o concesions de tokens inesperades. Combinat amb el seu SAST motor, identifica portes del darrere ocultes o scripts injectats abans de la fusió o el desplegament.
7. Descobriment automatitzat d'actius i ASPM Visibilitat
Xygeni construeix un inventari en viu de tot el teu SDLC ecosistema, incloent-hi repositoris, col·laboradors, pipelines, dependències i infraestructura al núvol. Aquesta visibilitat permet la priorització dinàmica de riscos, els mapes de compliment (per exemple, NIS2, DORA) i evidència preparada per a auditories sense interrompre els fluxos de treball existents.
Què signifiquen els jocs de GitHub per als desenvolupadors segurs: Mantingueu la curiositat, mantingueu-vos segurs
- Si un repositori conté un script de compilació ocult que descarrega codi maliciós (per exemple, un script de PowerShell posterior a la instal·lació), Xygeni el marcarà i el bloquejarà abans de l'execució.
- Quan es fusiona codi que fa referència a una dependència sospitosa, Xygeni la bloqueja i ofereix una correcció automàtica mitjançant Pull Request.
- Si un projecte allotjat a GitHub Pages conté scripts maliciosos ocults, Xygeni's SCA i la detecció de programari maliciós els identifica fins i tot si només s'executen durant la càrrega de la pàgina.
- Construir pipelines rebutjarà commitsi els artefactes o les configuracions compilades fallen les comprovacions d'atestat, impedint que les compilacions compromeses arribin a producció.
Amb Xygeni, pots continuar descobrint i provant jocs github amb confiança. Cada pas, des de la clonació fins a la implementació, està protegit. Els desenvolupadors mantenen la curiositat, pipelinees mantenen segurs i la vostra cadena de subministrament es manté neta.
