Introdución: O auxe dos xogos de GitHub e os riscos que se agochan tras a diversión
Se algunha vez buscaches Xogos de GitHub, probablemente xa te atopaches con de todo, dende xogos de disparos baseados en navegador ata clons retro creados con JavaScript ou Python. Estes proxectos son divertidos de probar, fáciles de executar e adoitan aparecer en titoriais ou foros de YouTube. Como resultado, fixéronse especialmente populares nas escolas, onde os desenvolvedores e os estudantes adoitan acceder a eles a través de Xogos desbloqueados de GitHub ou bifurcádelos de Xogos de GitHub iO páxinas.
Debido a esta popularidade, tanto os desenvolvedores como os estudantes clonan estes repositorios, executan o código e seguen adiante sen pensalo moito. Pero aquí está o problema: non todos estes xogos son o que parecen.
Algúns repositorios de xogos executan scripts de instalación sospeitosos. Outros introducen dependencias desactualizadas ou vulnerables. Algúns incluso agochan software malicioso dentro de recursos, contedores ou ficheiros de despregamento. Dado que moitos desenvolvedores aloxan estes proxectos a través de Xogos de GitHub iO, o risco propágase rapidamente e a miúdo pasa desapercibido.
Nesta publicación, exploraremos como os repositorios de xogos poden converterse nunha ameaza seria para a seguridade. Tamén che mostraremos como manterte seguro sen renunciar á túa curiosidade nin ao teu... CI/CD.
Por que os atacantes atacan xogos de GitHub e repositorios desbloqueados
A primeira vista, os repositorios de xogos en GitHub parecen inofensivos. Despois de todo, adoitan ser pequenos experimentos ou proxectos educativos creados para divertirse. Non obstante, os atacantes ven isto de forma diferente. En realidade, moitos destes... Os repositorios aprovéitanse como plataformas de entrega de software malicioso, a miúdo disfrazados de Xogos de GitHub or xogos desbloqueados de github.
Por exemplo, un actor de ameazas coñecido como Stargazer Goblin opera unha rede de máis de 3,000 contas pantasma de GitHub, alcumada a «Rede pantasma dos observadores de estrelas». Este grupo crea estrelas, bifurcacións e vixía deliberadamente repositorios maliciosos para aumentar a súa visibilidade e lexitimidade, normalmente dirixíndose a usuarios que buscan ferramentas ou trampas para xogos. Estes repositorios empregáronse para distribuír ladróns de información e ransomware como Atlantida Stealer, Rhadamanthys, Lumma Stealer e RedLine.
Ademais, outra campaña sofisticada chamada Maldición da auga polo menos converteuse en arma 76 contas de GitHub, integrando software malicioso de varias etapas no que parecen ser ferramentas lexítimas. As cargas útiles están ocultas en ficheiros de proxecto de Visual Studio (PreBuildEvent), despregando scripts ofuscados e binarios baseados en Electron para o roubo de credenciais, a extracción de datos do navegador e a persistencia a longo prazo. Os obxectivos inclúen desenvolvedores, equipos de DevOps e creadores de xogos.
Os atacantes aproveitan o feito de que moitos desenvolvedores clonan xogos de GitHub para probalos ou aprender deles sen revisar o código. Do mesmo xeito, os xogos de GitHub Io, repositorios servidos a través de páxinas de GitHub, poden aloxar JavaScript malicioso, imaxes ou scripts de redirección que se executan ao cargar nun navegador. Dado que moitos xogos de GitHub Io son bifurcados e reutilizados sen unha inspección exhaustiva, os atacantes úsanos para introducir código ofuscado, rastreadores ocultos ou activadores de descarga. Estas tácticas explotan a confianza que os desenvolvedores depositan nos proxectos de código aberto.
En resumo, a popularidade dos repositorios de xogos e dos proxectos de xogo sen bloqueos convérteos en terreo fértil para os atacantes. Sen unha selección axeitada, un desenvolvedor curioso pode introducir software malicioso no seu entorno simplemente clonando ou aloxando un repositorio de xogos.
Queres protexer todos os teus proxectos de GitHub?
Se te preguntas como protexer os teus repositorios de GitHub máis alá das modificacións do xogo, non perdas a nosa publicación detallada sobre permisos. pull requests, CI/CD integración, e moito máis.
Patróns de software malicioso en xogos desbloqueados de GitHub e xogos de E/S de GitHub
Cando os desenvolvedores exploran proxectos etiquetados como github unblocked games, moitos parecen inofensivos. Non obstante, varios patróns recorrentes revelan ameazas graves que poden pasar desapercibidas facilmente.
Campaña: A maldición da auga
Trend Micro descubriu unha campaña chamada Maldición da auga, no que polo menos 76 contas de GitHub repositorios armados aloxados que se fan pasar por ferramentas de desenvolvedores ou mods de xogos. Estes repositorios incrustan cargas maliciosas mediante <PreBuildEvent> etiquetas nos ficheiros de proxecto de Visual Studio. Durante as compilacións, os scripts ofuscados de PowerShell ou VBS descargan arquivos ZIP cifrados, instalan binarios baseados en Electron e exfiltran credenciais, datos do navegador e tokens de sesión. O malware tamén implementa persistencia mediante tarefas programadas e cambios no rexistro.
Pseudocódigo en xogos de GitHub: gancho
<PropertyGroup> <PreBuildEvent> powershell -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "download ZIP from GitHub → extract payload → run installer" </PreBuildEvent> </PropertyGroup> Pseudocódigo: Execución ofuscada de PowerShell
# decode base64 payload payload = decode_base64('...') # run in memory execute_in_memory(payload) Este exemplo simplificado mostra como o código malicioso evita as escrituras en disco descodificando e executándose directamente na memoria.
Campaña: A maldición da auga
Trend Micro identificou unha operación de ameazas coñecida como Maldición da auga, onde os atacantes empregaron polo menos 76 contas de GitHub para aloxar repositorios armados. Estes proxectos parecían ser ferramentas de desenvolvemento ou mods de xogos. Internamente, integraban lóxica maliciosa nos ficheiros de compilación, especialmente a través de <PreBuildEvent> etiqueta en Visual Studio .csproj arquivos.
As cargas útiles incluían scripts de varias etapas que descargaban ficheiros ZIP cifrados, extraían ficheiros e executaban portas traseiras. Ademais, os atacantes engadiron mecanismos de persistencia mediante edicións do rexistro de Windows e tarefas programadas.
Exemplo de pseudocódigo: Visual Studio Build Hook
<PropertyGroup> <PreBuildEvent> powershell -Command "download ZIP from GitHub, extract payload, and run installer" </PreBuildEvent> </PropertyGroup>Pseudocódigo: Execución en memoria mediante PowerShell
# Decode and run base64 payload in memory payload = decode_base64('...') execute_in_memory(payload) Esta técnica evita escribir no disco, o que axuda aos atacantes a evitar a detección do antivirus e a gañar ocultación.
Campaña: Contas de trasnos e pantasmas observaestrelas
Check Point Research documentou outro ataque a grande escala e revelou que Rede pantasma de observadores de estrelasEsta campaña empregou máis de 3,000 contas falsas de GitHub para inflar estrelas, bifurcacións e vixilantes en repositorios maliciosos. O obxectivo era crear unha falsa sensación de lexitimidade.
Estas contas pantasma axudaron a promover software malicioso como Ladrón Atlántico, Lumma, Radamantise RedLine, dirixidos principalmente a desenvolvedores e xogadores. En só catro días, unha onda de ataques infectou a máis de vítimas 1,300 difundindo paquetes de mods de xogos modificados a través de ligazóns de Discord e README.
Exemplo de pseudocódigo: README malicioso
# Ultimate Game Mod Pack 🕹️ Download and run the installer here: [Download Now](https://github[dot]com/ghost/repo/releases/latest/modpack.zip) Patróns comúns de software malicioso nos repositorios de xogos de GitHub
| patrón | descrición |
|---|---|
| Scripts de preinstalación/compilación | Scripts que se executan automaticamente durante a instalación ou a compilación para obter e executar cargas útiles remotas, a miúdo sen que o usuario o decate. |
| Typosquatting e garfos falsos | Proxectos maliciosos que imitan os nomes ou a estrutura de ferramentas ou repositorios de xogos populares para enganar os desenvolvedores e que os instalen. |
| Abuso de páxinas de GitHub | JavaScript, imaxes ou redireccionamentos ocultos nas páxinas de `xogos de github io` que desencadean a execución de scripts maliciosos ao cargar a páxina. |
| Sinais de popularidade falsos | As contas pantasma inflan artificialmente estrelas, forquitas e vixilantes para facer que os repositorios maliciosos parezan fiables. |
Estas técnicas non son teóricas. Xa foron observadas en vivo campañas de software malicioso, moitos dos cales estaban dirixidos a desenvolvedores que usaban repositorios de xogos como puntos de entrada.
Afortunadamente, algunhas plataformas de seguridade poden detectar estes patróns antes de que causen danos. Na seguinte sección, mostraremos como Xygeni detecta, bloquea e remedia estas ameazas no teu SDLC.
Como Xygeni protexe os xogos de GitHub, os proxectos desbloqueados e CI/CD Pipelines
Cando aparecen patróns arriscados nos repositorios de xogos de GitHub, Xygeni ofrece unha defensa completa para deter as ameazas antes de que comprometan os teus sistemas ou a cadea de subministración.
1. Alerta temperá: detección de malware en tempo real en xogos e dependencias de GitHub
Xíxeno analiza continuamente os paquetes novos en NPM, Maven, PyPI e moito máis. Isto inclúe paquetes incrustados en lugares inesperados, como repositorios de xogos ou proxectos de xogos desbloqueados de GitHub compartidos en foros ou redes escolares. Se se atopa un compoñente sospeitoso, Xygeni ponno en corentena automaticamente, bloquea o seu uso nas túas dependencias e envía alertas en tempo real ao teu equipo. Isto impide que as cargas útiles maliciosas entren na túa base de código ou CI/CD pipeline.
2. Consciente da accesibilidade SCA con priorización intelixente
En vez de abrumar o teu equipo con alertas, Xíxeno avalía se unha vulnerabilidade se usa realmente no teu código (accesibilidade) e incorpora a puntuación de risco (EPSS, impacto empresarial) para sacar á luz os problemas máis críticos. Isto reduce significativamente o ruído e garante que o teu equipo actúe no que realmente importa.
3. Remediación automatizada mediante Pull Requests
Cando se detecta unha vulnerabilidade ou unha dependencia maliciosa cunha corrección coñecida, Xygeni crea automaticamente unha Pull Request para actualizar ou solucionar o problema. Isto acelera o tempo de resposta, limita o traballo manual e mantén o teu pipeline seguro
4. CI/CD Controis de seguranza para bloquear compilacións maliciosas
Xygeni intégrase coa compilación pipelines a través de Accións de GitHub, Jenkins, GitLab, Azure Pipelines e outros. Analiza scripts de compilación, ficheiros Docker e CI/CD configuracións para comandos sospeitosos, como shells inversos ou scripts de instalación, e pode bloquear compilacións se se detecta código perigoso.
5. Construír integridade mediante atestacións compatibles con SLSA
o Build Security o módulo crea atestacións asinadas seguindo SLSA e in-toto standards, incrustación de metadatos na fonte, dependencias, SBOMe probas. Se se producen modificacións non autorizadas, a validación da atestación falla e o pipeline para automaticamente.
6. Detección de anomalías en SCM e artefactos de CI
Xygeni monitoriza continuamente o teu código fonte e os entornos de CI para detectar comportamentos pouco habituais, como commitevitando a protección de ramas, usuarios descoñecidos ou concesións de tokens inesperadas. Combinado co seu SAST motor, identifica portas traseiras ocultas ou scripts inxectados antes da fusión ou da implementación.
7. Detección automatizada de activos e ASPM Visibilidade
Xygeni constrúe un inventario en directo de todo o teu SDLC ecosistema, incluíndo repositorios, colaboradores, pipelines, dependencias e infraestrutura na nube. Esta visibilidade permite a priorización dinámica de riscos, as asignacións de conformidade (por exemplo, NIS2, DORA) e as evidencias listas para auditoría sen interromper os fluxos de traballo existentes.
Que significan os xogos de GitHub para os desenvolvedores seguros: Mantén a curiosidade, manténte a salvo
- Se un repositorio contén un script de compilación oculto que descarga código malicioso (por exemplo, un script de PowerShell posterior á instalación), Xygeni sinalarao e bloquearao antes da execución.
- Ao fusionar código que fai referencia a unha dependencia sospeitosa, Xygeni bloquéaa e ofrece unha corrección automática mediante Pull Request.
- Se un proxecto aloxado en páxinas de GitHub contén scripts maliciosos ocultos, Xygeni SCA e a detección de software malicioso identifícaos mesmo se só se executan durante a carga da páxina.
- Construír pipelines rexeitará commitse os artefactos ou configuracións compilados fallan as comprobacións de atestación, impedindo que as compilacións comprometidas cheguen á produción.
Con Xygeni, podes seguir descubrindo e probando xogos de GitHub con confianza. Cada paso, dende a clonación ata a implementación, está protexido. Os desenvolvedores manteñen a curiosidade, pipelinemantéñense seguros e a súa cadea de subministración mantense limpa.
