Fampidirana: Ny Fipoiran'ny Lalao GitHub sy ny Loza Mety Hahazoana Izany Fahafinaretana Izany
Raha efa nikaroka ianao Lalao GitHub, azo inoana fa efa nahita zavatra maro ianao, manomboka amin'ny lalao fitifirana miorina amin'ny navigateur ka hatramin'ny clones retro namboarina tamin'ny JavaScript na Python. Mahafinaritra ny manandrana ireo tetikasa ireo, mora ampiasaina, ary matetika miseho amin'ny fampianarana na sehatra fifanakalozan-kevitra ao amin'ny YouTube. Vokatr'izany, dia lasa malaza be any an-tsekoly izy ireo, izay matetika idiran'ny mpamorona sy ny mpianatra amin'ny alàlan'ny Lalao tsy voasakana ao amin'ny GitHub na manapaka azy ireo avy amin'ny Lalao GitHub io pejy.
Noho io lazany io, dia samy manao dika mitovy amin'ireo repo ireo ny mpamorona sy ny mpianatra, mampiasa ny kaody, ary manohy tsy misy fieritreretana firy. Saingy ity ny olana: tsy ny lalao rehetra no araka ny endriny.
Misy repo lalao mampiasa script fametrahana miafina. Ny hafa kosa misintona fiankinan-doha efa lany andro na marefo. Ny sasany aza manafina malware ao anaty fananana, fitoeran-javatra, na rakitra fametrahana. Satria maro ny mpamorona lalao no mampiantrano ireo tetikasa ireo amin'ny alàlan'ny Lalao GitHub io, miely haingana ny risika ary matetika tsy voamarika.
Ato amin'ity lahatsoratra ity, hojerentsika ny fomba mety hahatonga ny repo lalao ho lasa fandrahonana lehibe ho an'ny fiarovana. Hasehontsika anao ihany koa ny fomba hijanonana ho voaro nefa tsy manary ny fahaliananao na ny fahaizanao. CI/CD.
Nahoana ireo mpanafika no mikendry ny lalao GitHub sy ny tahiry tsy voasakana
Raha vao jerena dia toa tsy mampidi-doza ny famerenana lalao ao amin'ny GitHub. Rehefa dinihina tokoa, matetika izy ireo dia fanandramana kely na tetikasa fanabeazana natao ho an'ny fahafinaretana. Na izany aza, ny mpanafika dia mahita izany amin'ny fomba hafa. Raha ny marina, maro amin'ireo Ampiasaina ho sehatra fanaterana malware ny repo, matetika miseho ho toy ny Lalao GitHub or Lalao tsy voasakana ao amin'ny github.
Ohatra, mpilalao fandrahonana fantatra amin'ny anarana hoe Stargazer Goblin miasa tambajotra mihoatra ny Kaonty GitHub matoatoa 3,000, antsoina hoe "Stargazers Ghost Network." Ity vondrona ity dia manao fanahy iniana mijery ireo rakitra miafina mba hampitomboana ny fahitana azy ireo sy ny maha-ara-dalàna azy ireo, matetika mikendry ireo mpampiasa mitady fitaovana na hosoka amin'ny lalao. Ireo tahiry ireo dia nampiasaina hizarana ireo mpangalatra fampahalalana sy ransomware toa an'i Atlantida Stealer, Rhadamanthys, Lumma Stealer, ary RedLine.
Ankoatra izany, fanentanana sarotra iray hafa antsoina hoe Ozona rano efa nampiasa fitaovam-piadiana farafaharatsiny Kaonty GitHub 76, mampiditra malware misy dingana maro ao anatin'izay toa fitaovana ara-dalàna. Miafina ao amin'ny rakitra tetikasa Visual Studio (PreBuildEvent) ireo entana, ka mampiasa script miafina sy binary mifototra amin'ny Electron ho an'ny halatra fahazoan-dàlana, fitrandrahana angon-drakitra amin'ny navigateur, ary fikirizana maharitra. Anisan'ireo lasibatra ny mpamorona, ekipa DevOps, ary mpamorona lalao.
Manararaotra ny fisian'ny mpamorona lalao github maro manao dika mitovy amin'izany ireo mpanafika mba hitsapana na hianarana avy amin'izany nefa tsy mijery ny kaody. Toy izany koa, ny lalao github io, izay tahiry alefa amin'ny alàlan'ny GitHub Pages, dia afaka mampiantrano JavaScript, sary, na script famindrana izay miasa rehefa ampidirina ao anaty navigateur. Koa satria lalao github io maro no nozaraina sy nampiasaina indray tsy misy fizahana lalina, dia ampiasain'ireo mpanafika izy ireo mba hampidirana kaody miafina, mpanara-maso miafina, na mpisintona fisintomana. Ireo tetika ireo dia manararaotra ny fahatokisan'ireo mpamorona lalao amin'ireo tetikasa open-source.
Raha fintinina, ny lazan'ny "repos" lalao sy ny tetikasa filalaovana tsy voasakana dia mahatonga azy ireo ho toerana lonaka ho an'ny mpanafika. Raha tsy misy ny fanaraha-maso sahaza, dia afaka mampiditra malware ao amin'ny tontolo iainany ny mpamorona te hahafanta-javatra amin'ny alàlan'ny fanaovana "clone" na fampiantranoana "repos" lalao fotsiny.
Te-hahazo antoka ny tetikasanao GitHub rehetra ve ianao?
Raha manontany tena ianao hoe ahoana no hiarovana ny repo GitHub anao ankoatra ny mods lalao, aza adino ny lahatsoratra lalina momba ny fahazoan-dàlana, pull requests, CI/CD fampidirana, sy ny maro hafa.
Endriky ny malware ao amin'ny lalao tsy voasakana ao amin'ny GitHub sy ny lalao GitHub IO
Rehefa mikaroka tetikasa voasokajy ho github unblocked games, maro no toa tsy mampidi-doza. Na izany aza, misy lamina miverimberina maromaro mampiseho fandrahonana lehibe izay mora tsy hita.
Fanentanana: Ozona amin'ny rano
Nahita fanentanana iray antsoina hoe Trend Micro Ozona rano, izay farafaharatsiny Kaonty GitHub 76 tahiry fitaovam-piadiana ampiantranoina miseho ho fitaovana mpamorona lalao na mods. Ireo tahiry ireo dia mampiditra entana mampidi-doza amin'ny fampiasana <PreBuildEvent> Ireo tag ao amin'ny rakitra tetikasa Visual Studio. Mandritra ny fanamboarana, ireo script PowerShell na VBS voasakana dia misintona ireo arsiva ZIP voaaro, mametraka ireo binary mifototra amin'ny Electron, ary manala ireo fahazoan-dàlana, angon-drakitra momba ny navigateur, ary ireo mari-pamantarana fivoriana. Ny malware koa dia mampihatra ny faharetana amin'ny alàlan'ny asa voalahatra sy ny fanovana ny rejisitra.
Pseudocode ao amin'ny lalao GitHub: hook
Pseudocode: Fampiharana PowerShell tsy mazava
Ity ohatra nohafohezina ity dia mampiseho ny fomba ialana amin'ny fanoratana kaody maloto amin'ny alàlan'ny famakiana sy fanatanterahana mivantana ao amin'ny fahatsiarovana.
Fanentanana: Ozona amin'ny rano
Nahita hetsika fandrahonana fantatra amin'ny anarana hoe Ozona rano, izay nampiasain'ireo mpanafika farafaharatsiny Kaonty GitHub 76 hampiantranoana tahiry fitaovam-piadiana. Toa fitaovan'ny mpamorona lalao na mods ireo tetikasa ireo. Tao anatiny, dia nampiditra lojika ratsy tao amin'ny rakitra fananganana izy ireo, indrindra amin'ny alàlan'ny <PreBuildEvent> marika ao amin'ny Visual Studio .csproj raki-daza.
Anisan'ny entana nalefa ny script misy dingana maro izay naka ZIP voaaro, nalaina ny rakitra, ary nampiasa backdoors. Ankoatra izany, nanampy fomba fikirizana ireo mpanafika tamin'ny fampiasana fanovana ny rejisitra Windows sy asa voalahatra.
Ohatra amin'ny pseudocode: Visual Studio Build Hook
Pseudocode: Fampiharana ao anaty fahatsiarovana amin'ny alàlan'ny PowerShell
Ity teknika ity dia misoroka ny fanoratana amin'ny kapila mafy, izay manampy ireo mpanafika tsy hamantatra ny antivirus ary hahazo fiarovana miafina.
Fanentanana: Kaonty Goblin sy Ghost an'ny Stargazer
Fanafihana goavana iray hafa no voarakitra an-tsoratra nataon'ny Check Point Research, izay nampiharihary ny Tambajotran'ny Matoatoa Mpandinika KintanaIty fampielezan-kevitra ity dia nampiasaina mihoatra ny Kaonty GitHub sandoka 3,000 mba hampivelatra kintana, forks ary watchers amin'ny tahiry ratsy fanahy. Ny tanjona dia ny hamorona fahatsapana diso momba ny maha-ara-dalàna.
Ireo kaonty matoatoa ireo dia nanampy tamin'ny fampiroboroboana ny malware toy ny Mpangalatra Atlantika, luma, Rhadamanthys, ary Tsipika mena, mikendry indrindra ireo mpamorona rindrambaiko sy mpilalao lalao video. Tao anatin'ny efatra andro monja, onjam-panafihana iray no nahavoa olona mihoatra ny Ireo niharam-boina 1,300 amin'ny fanaparitahana ireo fonosana mod lalao novaina amin'ny alàlan'ny rohy Discord sy README.
Ohatra amin'ny pseudocode: README ratsy fanahy
Endrika malware mahazatra ao amin'ny GitHub Games Repositories
| Pattern | Description |
|---|---|
| Script mialoha ny fametrahana / fananganana | Script izay miasa ho azy mandritra ny fametrahana na fananganana mba haka sy hanatanteraka ireo entana lavitra, matetika tsy fantatry ny mpampiasa. |
| Fanovana endrika diso sy foroka sandoka | Tetikasa ratsy izay maka tahaka ny anarana na ny firafitry ny fitaovana malaza na ny repo lalao mba hamitahana ireo mpamorona lalao hametraka azy ireo. |
| Fanararaotana ny pejy GitHub | JavaScript, sary, na fanodinkodinana miafina ao amin'ny pejy 'github io games' izay miteraka fampiharana script manimba rehefa misokatra ny pejy. |
| Famantarana sandoka momba ny laza | Mampiasa "stars", "forks", ary "watchers" artifisialy ireo kaonty matoatoa mba hampisehoana fa azo itokisana ireo tahiry ratsy fanahy. |
Tsy teôria ireo teknika ireo. Efa hita mivantana izy ireo. fampielezan-kevitra momba ny malware, izay maro amin'izy ireo no nikendry ireo mpamorona lalao mampiasa repo lalao ho toy ny fidirana.
Soa ihany fa misy sehatra fiarovana sasany afaka mahita ireo lamina ireo alohan'ny hiteraka fahasimbana. Ao amin'ny fizarana manaraka, dia hasehontsika ny fomba ahitan'ny Xygeni, hanakanana ary hanitsiana ireo fandrahonana ireo manerana ny tranonkalanao. SDLC.
Ahoana no iarovan'ny Xygeni ny lalao GitHub, tetikasa tsy voasakana, ary CI/CD Pipelines
Rehefa mipoitra ireo lamina mampidi-doza ao amin'ny GitHub game repo, ny Xygeni dia manome fiarovana feno mba hampitsaharana ny fandrahonana alohan'ny hanimbana ny rafitrao na ny rojo famatsianao.
1. Fampitandremana mialoha: Fitihana malware amin'ny fotoana tena izy amin'ny lalao sy fiankinan-doha amin'ny GitHub
Xygeni Mijery tsy tapaka ireo fonosana vaovao manerana ny NPM, Maven, PyPI, sy ny maro hafa. Tafiditra ao anatin'izany ireo fonosana napetraka amin'ny toerana tsy ampoizina, toy ny repo lalao na tetikasa lalao tsy voasakana ao amin'ny github zaraina amin'ny sehatra fifanakalozan-kevitra na tambajotran-tsekoly. Raha misy singa mampiahiahy hita, dia apetraky ny Xygeni ho azy izany, sakanana ny fampiasana azy amin'ny fiankinan-dohao, ary alefaso fampandrenesana mivantana amin'ny ekipanao. Izany dia misoroka ny fidirana amin'ny kaody-nao na CI/CD pipeline.
2. Fahaizana mahatratra SCA miaraka amin'ny laharam-pahamehana marani-tsaina
Aza manafoana ny ekipanao amin'ny fampandrenesana, Xygeni manombana raha tena ampiasaina ao amin'ny kaody-nao ny fahalemena iray (fahatratrarana) ary mampiditra ny fanombanana ny risika (EPSS(, fiantraikan'ny orinasa) mba hampisongadina ireo olana tena manan-danja. Izany dia mampihena be ny tabataba ary miantoka fa ny ekipanao dia mandray andraikitra amin'izay tena zava-dehibe.
3. Fanamboarana mandeha ho azy amin'ny fampiasana Pull Requests
Rehefa hita fa misy fahalemena na fiankinan-doha amin'ny alalan'ny fanamboarana fantatra, dia mamorona ho azy ny Xygeni Pull Request hanavao na hanamboatra ny olana. Izany dia manafaingana ny fotoana famaliana, mametra ny asa tanana, ary mitazona ny anao pipeline tsy manana ahiahy.
4. CI/CD Fanaraha-maso ny fiarovana hanakanana ireo fananganana ratsy
Mifandray amin'ny fananganana ny Xygeni pipelines amin'ny alàlan'ny GitHub Actions, Jenkins, GitLab, Azure Pipelines, sy ny hafa. Mijery ireo script fananganana, Dockerfiles, ary CI/CD configs ho an'ny baiko mampiahiahy, toy ny reverse shells na install scripts, ary mety hanakana ny builds raha misy kaody mampidi-doza hita.
5. Manorina Fahamarinana amin'ny alàlan'ny Fanamarinana mifanaraka amin'ny SLSA
The Build Security Mamorona fanamarinana nosoniavina manaraka ny SLSA sy in‑toto ny môdioly standards, fampidirana metadata amin'ny loharano, fiankinan-doha, SBOM, ary fitsapana. Raha misy fanovana tsy nahazoana alalana mitranga, dia tsy hahomby ny fanamarinana ary ny pipeline mijanona ho azy.
6. Fitihana tsy fetezana ao amin'ny SCM ary ny zavatra vita amin'ny CI
Manara-maso tsy tapaka ny kaody loharano sy ny tontolo CI anao ny Xygeni mba hamantarana ny fihetsika tsy mahazatra, toy ny commitmandingana ny fiarovana ny sampana, mpampiasa tsy fantatra, na fanomezana token tsy nampoizina. Miaraka amin'ny azy SAST motera, mamantatra varavarana miafina na script nampidirina alohan'ny fampiraisana na fametrahana.
7. Fikarohana Fananana Mandeha Ho Azy sy ASPM Visibility
Manamboatra a ny Xygeni firaketana mivantana ny anao manontolo SDLC tontolo iainana, anisan'izany ny tahiry, mpiara-miasa, pipelines, fiankinan-doha, ary fotodrafitrasa rahona. Ity fahitana ity dia ahafahana mametraka laharam-pahamehana mavitrika amin'ny risika, mandrindra ny fanarahan-dalàna (ohatra ny NIS2, DORA), ary porofo vonona amin'ny fanaraha-maso nefa tsy manelingelina ny fizotran'ny asa efa misy.
Ny dikan'ny lalao GitHub ho an'ny mpamorona azo antoka: Mijanòna ho liana, mitandrema
- Raha misy script fananganana miafina izay misintona kaody mampidi-doza (ohatra, script PowerShell aorian'ny fametrahana), dia hanamarika sy hanakana izany ny Xygeni alohan'ny hanatanterahana azy.
- Rehefa mampifangaro kaody izay manondro fiankinan-doha mampiahiahy ny Xygeni dia sady manakana izany no manolotra fanamboarana mandeha ho azy amin'ny alàlan'ny Pull Request.
- Raha misy script miafina sy mampidi-doza ao amin'ny tetikasa GitHub Pages izay ampiantranoin'ny Xygeni, SCA ary ny fitadiavana malware dia mamantatra azy ireo na dia mandritra ny famoahana pejy ihany aza no mitranga.
- Manaova pipelinehandà i s commitraha toa ka tsy mahomby amin'ny fanamarinana ny artifact na configs namboarina, ka manakana ny build voajirika tsy hahatratra ny famokarana mihitsy.
Miaraka amin'ny Xygeni, afaka manohy mikaroka sy manandrana ianao lalao github amim-pahatokiana. Voaaro ny dingana rehetra, manomboka amin'ny fanaovana "cloning" ka hatramin'ny fametrahana azy. Mbola te hahafanta-javatra ireo mpamorona, pipelinemijanona ho voaro, ary mijanona ho madio ny rojo famatsiana anao.
