Enkonduko: La kresko de GitHub-ludoj kaj la riskoj malantaŭ la amuzo
Se vi iam serĉis GitHub-ludoj, vi verŝajne renkontis ĉion de retumil-bazitaj pafiludoj ĝis retroaj klonoj konstruitaj per JavaScript aŭ Python. Ĉi tiuj projektoj estas amuzaj por provi, facile funkciigeblaj, kaj ofte aperas en YouTube-lerniloj aŭ forumoj. Rezulte, ili fariĝis aparte popularaj en lernejoj, kie programistoj kaj studentoj ofte aliras ilin per GitHub malblokis ludojn aŭ forku ilin de GitHub io-ludoj paĝoj.
Pro tiu populareco, kaj programistoj kaj studentoj klonas tiujn deponejojn, ruligas la kodon, kaj pluiras sen multe da pensado. Sed jen la problemo: ne ĉiuj tiuj ludoj estas kiaj ili ŝajnas.
Kelkaj luddeponejoj funkciigas suspektindajn instalskriptojn. Aliaj enigas malmodernajn aŭ vundeblajn dependecojn. Kelkaj eĉ kaŝas malican programaron ene de aktivaĵoj, ujoj aŭ deplojaj dosieroj. Ĉar multaj programistoj gastigas ĉi tiujn projektojn per GitHub io-ludoj, la risko rapide disvastiĝas kaj ofte restas nerimarkita.
En ĉi tiu afiŝo, ni esploros kiel luddeponejoj povas fariĝi grava sekureca minaco. Ni ankaŭ montros al vi kiel resti sekura sen rezigni pri via scivolemo aŭ via... CI/CD.
Kial Atakantoj Celas GitHub-Ludojn kaj Malblokitajn Deponejojn
Unuavide, luddeponejoj ĉe GitHub ŝajnas sendanĝeraj. Fine, ili ofte estas malgrandaj eksperimentoj aŭ edukaj projektoj konstruitaj por amuziĝo. Tamen, atakantoj vidas ilin alimaniere. En realeco, multaj tiaj... deponejoj estas uzataj kiel platformoj por liverado de malica programaro, ofte kaŝvestita kiel GitHub-ludoj or github malblokis ludojn.
Ekzemple, minacaktoro konata kiel Stargazer Koboldo funkciigas reton de pli ol 3,000 fantomaj GitHub-kontoj, nomita la "Stelobservantaj Fantoma Reto". Ĉi tiu grupo intence starigas, forkas, kaj observas malicajn deponejojn por pliigi sian videblecon kaj legitimecon, tipe celante uzantojn serĉantajn ilojn aŭ ludtrompojn. Ĉi tiuj deponejoj estis uzataj por distribui informŝtelistojn kaj elaĉetprogramojn kiel Atlantida Stealer, Rhadamanthys, Lumma Stealer, kaj RedLine.
Krome, alia sofistika kampanjo nomita Akva Malbeno armiligis almenaŭ 76 GitHub-kontoj, enmetante plurŝtupan malican programaron en ŝajne legitimajn ilojn. La utilaj ŝarĝoj estas kaŝitaj en projektodosieroj de Visual Studio (PreBuildEvent), deplojante malklarigitajn skriptojn kaj Electron-bazitajn duumaĵojn por ŝtelo de akreditaĵoj, ekstraktado de retumilaj datumoj kaj longdaŭra persisto. Celoj inkluzivas programistojn, DevOps-teamojn kaj ludkreintojn.
Atakantoj ekspluatas la fakton, ke multaj programistoj klonas github-ludojn por testi aŭ lerni de ili sen revizii la kodon. Simile, github-io-ludoj, deponejoj servataj per GitHub-paĝoj, povas gastigi malican JavaScript-on, bildojn aŭ alidirektajn skriptojn, kiuj efektiviĝas kiam ŝarĝitaj en retumilo. Ĉar multaj github-io-ludoj estas forkitaj kaj reuzataj sen profunda inspektado, atakantoj uzas ilin por kontrabandi malklarigitan kodon, kaŝitajn spurilojn aŭ elŝutajn ellasilojn. Ĉi tiuj taktikoj ekspluatas la fidon, kiun programistoj metas en malfermfontajn projektojn.
Mallonge, la populareco de luddeponejoj kaj projektoj kun malblokita ludado igas ilin fekunda grundo por atakantoj. Sen taŭga kontrolado, scivola programisto povas enkonduki malican programaron en sian medion simple per klonado aŭ gastigado de luddeponejo.
Ĉu vi volas sekurigi ĉiujn viajn GitHub-projektojn?
Se vi scivolas kiel protekti viajn GitHub-deponejojn preter ludaj modifoj, ne maltrafu nian profundan afiŝon pri permesoj. pull requests, CI/CD integriĝo, kaj pli.
Malicaj Programaraj Ŝablonoj en Malblokitaj Ludoj de GitHub kaj Ludoj de GitHub IO
Kiam programistoj esploras projektojn etikeditajn kiel github unblocked games, multaj ŝajnas sendanĝeraj. Tamen, pluraj revenantaj ŝablonoj malkaŝas gravajn minacojn, kiujn oni povas facile pretervidi.
Kampanjo: Akva Malbeno
Trend Micro malkovris kampanjon nomitan Akva Malbeno, en kiu almenaŭ 76 GitHub-kontoj gastigitaj armiligitaj deponejoj maskitaj kiel programistaj iloj aŭ ludmodoj. Ĉi tiuj deponejoj enmetas malicajn utilajn ŝarĝojn uzante <PreBuildEvent> etikedoj en projektodosieroj de Visual Studio. Dum konstruadoj, malklarigitaj PowerShell aŭ VBS-skriptoj elŝutas ĉifritajn ZIP-arkivojn, instalas Electron-bazitajn duumajn dosierojn, kaj elfiltras akreditaĵojn, retumilajn datumojn kaj seancajn ĵetonojn. La malica programaro ankaŭ efektivigas persistecon per planitaj taskoj kaj registroŝanĝoj.
Pseŭdokodo en GitHub-ludoj: Hoko
Pseŭdokodo: Malklarigita PowerShell-Ekzekuto
Ĉi tiu simpligita ekzemplo montras kiel malica kodo evitas skribojn sur la disko per deĉifrado kaj efektivigo rekte en la memoro.
Kampanjo: Akva Malbeno
Trend Micro identigis minacoperacion konatan kiel Akva Malbeno, kie atakantoj uzis almenaŭ 76 GitHub-kontoj por gastigi armiligitajn deponejojn. Ĉi tiuj projektoj ŝajnis esti programistaj iloj aŭ ludmodoj. Interne, ili enigis malican logikon en konstruodosierojn, precipe per la <PreBuildEvent> etikedo en Visual Studio .csproj dosierojn.
La utilaj ŝarĝoj inkluzivis plurŝtupajn skriptojn, kiuj elŝutis ĉifritajn ZIP-dosierojn, eltiris dosierojn kaj efektivigis malantaŭajn pordojn. Krome, atakantoj aldonis persistan mekanismojn uzante redaktojn en la Vindoza registro kaj planitajn taskojn.
Ekzemplo de pseŭdokodo: Visual Studio Build Hook
Pseŭdokodo: Enmemora Ekzekuto per PowerShell
Ĉi tiu tekniko evitas skribi al disko, kio helpas atakantojn preteriri antivirusan detekton kaj akiri sekreton.
Kampanjo: Stelobservantaj Koboldoj kaj Fantomaj Kontoj
Alia grandskala atako estis dokumentita de Check Point Research, kiu rivelis la Stelobservantaj Fantoma RetoĈi tiu kampanjo uzis pli ol 3,000 falsaj GitHub-kontoj ŝveligi stelojn, forkojn kaj observantojn sur malicaj deponejoj. La celo estis krei falsan senton de legitimeco.
Ĉi tiuj fantomaj kontoj helpis antaŭenigi malicajn programojn kiel Atlantida Ŝtelisto, Lumma, RadamantoKaj Ruĝa linio, plejparte celante programistojn kaj ludantojn. En nur kvar tagoj, unu ataka ondo infektis pli ol 1,300 viktimoj per disvastigado de modifitaj ludmodpakaĵoj per Discord kaj README-ligiloj.
Ekzemplo de pseŭdokodo: Malica README
Oftaj Ŝablonoj de Malica Programaro en Deponejoj de GitHub-Ludoj
| Skemo | Priskribo |
|---|---|
| Antaŭinstalaj / Krei Skriptojn | Skriptoj kiuj funkcias aŭtomate dum instalado aŭ konstruado por preni kaj efektivigi malproksimajn utilajn ŝarĝojn, ofte sen konscio de la uzanto. |
| Typosquatting kaj Falsaj Forkoj | Malicaj projektoj, kiuj imitas la nomojn aŭ strukturon de popularaj iloj aŭ luddeponejoj por trompi programistojn instali ilin. |
| Misuzo de GitHub-paĝoj | JavaScript, bildoj, aŭ alidirektoj kaŝitaj en `github io games` paĝoj kiuj ekigas plenumon de malicaj skriptoj dum paĝŝargo. |
| Falsaj Popularecaj Signaloj | Fantomaj kontoj artefarite ŝveligas stelojn, forkojn kaj observantojn por igi malicajn deponejojn ŝajni fidindaj. |
Ĉi tiuj teknikoj ne estas teoriaj. Ili jam estis observitaj en vivaj studoj. malicaĵaj kampanjoj, multaj el kiuj celis programistojn uzantajn luddeponejojn kiel enirejojn.
Bonŝance, iuj sekurecaj platformoj povas kapti ĉi tiujn ŝablonojn antaŭ ol ili kaŭzas damaĝon. En la sekva sekcio, ni montros kiel Xygeni detektas, blokas kaj solvas ĉi tiujn minacojn tra via SDLC.
Kiel Xygeni Sekurigas GitHub-Ludojn, Malblokitajn Projektojn, kaj CI/CD Pipelines
Kiam aperas riskaj ŝablonoj en luddeponejoj de GitHub, Xygeni provizas plenstakan defendon por haltigi minacojn antaŭ ol ili kompromitas viajn sistemojn aŭ provizoĉenon.
1. Frua Averto: Realtempa Detekto de Malica Programaro en GitHub-Ludoj kaj Dependecoj
Ksgeni kontinue skanas novajn pakaĵojn tra NPM, Maven, PyPI, kaj pli. Tio inkluzivas pakaĵojn enigitajn en neatenditajn lokojn, kiel ekzemple luddeponejoj aŭ malblokitaj ludoj en GitHub, projektoj dividitaj tra forumoj aŭ lernejaj retoj. Se suspektinda komponanto estas trovita, Xygeni aŭtomate kvarantenas ĝin, blokas ĝian uzon en viaj dependecoj, kaj sendas realtempajn alarmojn al via teamo. Tio malhelpas malicajn utilajn ŝarĝojn eniri vian kodbazon aŭ CI/CD pipeline.
2. Atingebleco-Konscia SCA kun Inteligenta Priorizado
Anstataŭ superŝarĝi vian teamon per alarmoj, Ksgeni taksas ĉu vundebleco estas efektive uzata en via kodo (atingeblo) kaj inkluzivas riskopoentadon (EPSS, efiko al la komerco) por elstarigi la plej kritikajn problemojn. Tio signife reduktas bruon kaj certigas, ke via teamo agas pri tio, kio vere gravas.
3. Aŭtomata Riparado Uzante Pull Requests
Kiam vundebleco aŭ malica dependeco estas detektita per konata solvo, Xygeni aŭtomate kreas Pull Request por ĝisdatigi aŭ ripari la problemon. Tio rapidigas la respondotempon, limigas manan laboron kaj konservas vian pipeline sekurigi.
4. CI/CD Sekurecaj Kontroloj por Bloki Malicajn Konstruojn
Xygeni integriĝas kun konstruo pipelines per GitHub-Agoj, Jenkins, GitLab, Azure Pipelines, kaj aliajn. Ĝi skanas konstruajn skriptojn, Dockerfiles, kaj CI/CD agordojn por suspektindaj komandoj, kiel inversaj ŝeloj aŭ instalaĵaj skriptoj, kaj povas bloki konstruojn se danĝera kodo estas detektita.
5. Krei Integrecon per SLSA-Konformaj Atestoj
la Build Security modulo kreas subskribitajn atestadojn laŭ SLSA kaj entute standards, enkorpigo de metadatenoj en fontkodon, dependecoj, SBOM, kaj testoj. Se okazas iuj neaŭtorizitaj modifoj, la atestado-validigo malsukcesas kaj la pipeline haltas aŭtomate.
6. Anomalio-Detekto en SCM kaj CI-Artefaktoj
Xygeni kontinue monitoras vian fontkodon kaj CI-mediojn por detekti nekutiman konduton, kiel ekzemple commitpreterirante branĉoprotekton, nekonatajn uzantojn aŭ neatenditajn ĵetonajn donojn. Kombinite kun ĝia SAST motoro, ĝi identigas kaŝitajn malantaŭajn pordojn aŭ injektitaj skriptoj antaŭ kunfandiĝo aŭ deplojo.
7. Aŭtomata Malkovro de Aktivaĵoj kaj ASPM videbleco
Xygeni konstruas viva inventaro de via tutaĵo SDLC ekosistemo, inkluzive de deponejoj, kunlaborantoj, pipelines, dependecoj, kaj nuba infrastrukturo. Ĉi tiu videbleco ebligas dinamikan riskoprioritadon, plenummapojn (ekz. NIS2, DORA), kaj aŭditor-pretan pruvon sen interrompi ekzistantajn laborfluojn.
Kion GitHub-Ludoj Signifas por Sekuraj Programistoj: Restu Scivola, Restu Sekura
- Se deponejo enhavas kaŝitan konstruan skripton, kiu elŝutas malican kodon (ekz. post-instala PowerShell-skripto), Xygeni markos kaj blokos ĝin antaŭ efektivigo.
- Kiam oni kunfandas kodon kiu referencas suspektindan dependecon, Xygeni kaj blokas ĝin kaj ofertas aŭtomatan riparon per Pull Request.
- Se projekto gastigita en GitHub Pages enhavas kaŝitajn malicajn skriptojn, Xygeni... SCA kaj detekto de malica programaro identigas ilin eĉ se ili nur funkcias dum paĝoŝarĝo.
- konstruu pipelines malakceptos commitse konstruitaj artefaktoj aŭ agordoj malsukcesas atestadkontrolojn, malhelpante endanĝerigitajn konstruojn iam ajn atingi produktadon.
Kun Xygeni, vi povas daŭre malkovri kaj provi github-ludoj kun konfido. Ĉiu paŝo, de klonado ĝis deplojo, estas protektita. Programistoj restas scivolaj, pipelines restas sekuraj, kaj via provizoĉeno restas pura.
