Wprowadzenie: Rozwój gier GitHub i ryzyko związane z zabawą
Jeśli kiedykolwiek szukałeś Gry GitHubPrawdopodobnie natknąłeś się na wszystko, od strzelanek przeglądarkowych po retro klony stworzone w JavaScript lub Pythonie. Projekty te są przyjemne w testowaniu, łatwe w uruchomieniu i często pojawiają się w samouczkach lub na forach YouTube. W rezultacie stały się szczególnie popularne w szkołach, gdzie programiści i uczniowie często uzyskują do nich dostęp za pośrednictwem… GitHub odblokował gry lub rozwidlić je GitHub io gry stron.
Z powodu tej popularności zarówno programiści, jak i studenci klonują te repozytoria, uruchamiają kod i postępują dalej bez większego zastanowienia. Ale problem w tym, że nie wszystkie te gry są tym, czym się wydają.
Niektóre repozytoria gier uruchamiają podejrzane skrypty instalacyjne. Inne pobierają przestarzałe lub podatne na ataki zależności. Niektóre nawet ukrywają złośliwe oprogramowanie w zasobach, kontenerach lub plikach wdrożeniowych. Ponieważ wielu deweloperów hostuje te projekty za pośrednictwem… GitHub io gryRyzyko rozprzestrzenia się szybko i często pozostaje niezauważone.
W tym poście omówimy, jak repozytoria gier mogą stać się poważnym zagrożeniem bezpieczeństwa. Pokażemy Ci również, jak zachować bezpieczeństwo, nie rezygnując z ciekawości i… CI/CD.
Dlaczego atakujący atakują gry GitHub i niezablokowane repozytoria
Na pierwszy rzut oka repozytoria gier na GitHubie wydają się nieszkodliwe. W końcu często są to małe eksperymenty lub projekty edukacyjne stworzone dla zabawy. Jednak atakujący postrzegają je inaczej. W rzeczywistości wiele takich repozytoria są wykorzystywane jako platformy dostarczające złośliwe oprogramowanie, często przebrany za Gry GitHub or odblokowane gry na githubie.
Na przykład aktor zagrożenia znany jako Goblin obserwator gwiazd zarządza siecią ponad 3,000 ukrytych kont GitHub, nazywanej „Stargazers Ghost Network”. Grupa ta celowo tworzy, rozwidla i obserwuje złośliwe repozytoria, aby zwiększyć swoją widoczność i wiarygodność, zazwyczaj atakując użytkowników poszukujących narzędzi lub kodów do gier. Te repozytoria były wykorzystywane do dystrybucji programów wykradających informacje i ransomware, takich jak Atlantida Stealer, Rhadamanthys, Lumma Stealer i RedLine.
Co więcej, inna wyrafinowana kampania o nazwie Klątwa Wody uzbroił co najmniej 76 kont GitHub, osadzając wieloetapowe złośliwe oprogramowanie w pozornie legalnych narzędziach. Ładunki są ukryte w plikach projektu Visual Studio (PreBuildEvent), wdrażając zaciemnione skrypty i pliki binarne oparte na Electron w celu kradzieży danych uwierzytelniających, ekstrakcji danych z przeglądarek i długotrwałego utrzymywania się w systemie. Celem ataku są deweloperzy, zespoły DevOps i twórcy gier.
Atakujący wykorzystują fakt, że wielu deweloperów klonuje gry z GitHub, aby je testować lub uczyć się z nich bez konieczności przeglądania kodu. Podobnie, gry GitHub io, których repozytoria są udostępniane za pośrednictwem GitHub Pages, mogą zawierać złośliwy kod JavaScript, obrazy lub skrypty przekierowujące, które są uruchamiane po załadowaniu w przeglądarce. Ponieważ wiele gier GitHub io jest rozwidlanych i ponownie wykorzystywanych bez dogłębnej inspekcji, atakujący wykorzystują je do przemycania zaciemnionego kodu, ukrytych trackerów lub wyzwalaczy pobierania. Te taktyki wykorzystują zaufanie, jakim deweloperzy darzą projekty open source.
Krótko mówiąc, popularność repozytoriów gier i projektów z odblokowanym dostępem do gier sprawia, że są one podatnym gruntem dla atakujących. Bez odpowiedniego zabezpieczenia, ciekawski deweloper może wprowadzić złośliwe oprogramowanie do swojego środowiska, po prostu klonując lub hostując repozytorium gry.
Chcesz zabezpieczyć wszystkie swoje projekty GitHub?
Jeśli zastanawiasz się, jak chronić swoje repozytoria GitHub poza modyfikacjami gry, nie przegap naszego szczegółowego wpisu na temat uprawnień, pull requests, CI/CD integracyjne i nie tylko.
Wzory złośliwego oprogramowania w grach GitHub Unblocked i GitHub IO
Kiedy deweloperzy badają projekty oznaczone jako github unblocked gamesWiele z nich wydaje się nieszkodliwych. Jednak kilka powtarzających się wzorców ujawnia poważne zagrożenia, które można łatwo przeoczyć.
Kampania: Klątwa Wody
Trend Micro odkrył kampanię o nazwie Klątwa Wody, w którym co najmniej 76 kont GitHub hostowane repozytoria z bronią podszywające się pod narzędzia deweloperskie lub mody do gier. Te repozytoria zawierają złośliwe oprogramowanie wykorzystujące <PreBuildEvent> tagi w plikach projektów Visual Studio. Podczas kompilacji, zaciemnione skrypty PowerShell lub VBS pobierają zaszyfrowane archiwa ZIP, instalują pliki binarne oparte na Electron oraz wykradają dane uwierzytelniające, dane przeglądarki i tokeny sesji. Szkodliwe oprogramowanie implementuje również trwałość poprzez zaplanowane zadania i zmiany w rejestrze.
Pseudokod w grach GitHub: Hak
<PropertyGroup>
<PreBuildEvent>
powershell -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "download ZIP from GitHub → extract payload → run installer"
</PreBuildEvent>
</PropertyGroup>
Pseudokod: Zaciemnione wykonywanie programu PowerShell
# decode base64 payload
payload = decode_base64('...')
# run in memory
execute_in_memory(payload)
Ten uproszczony przykład pokazuje, w jaki sposób złośliwy kod unika zapisu na dysku, dekodując go i wykonując bezpośrednio w pamięci.
Kampania: Klątwa Wody
Trend Micro zidentyfikował operację zagrożenia znaną jako Klątwa Wody, gdzie atakujący wykorzystali co najmniej 76 kont GitHub do hostowania repozytoriów broni. Projekty te wydawały się być narzędziami dla deweloperów lub modyfikacjami gier. Wewnętrznie osadzały one złośliwą logikę w plikach kompilacji, szczególnie poprzez <PreBuildEvent> tag w programie Visual Studio .csproj akta.
Ładunki zawierały wieloetapowe skrypty, które pobierały zaszyfrowane pliki ZIP, rozpakowywały pliki i uruchamiały tylne furtki. Ponadto atakujący dodawali mechanizmy trwałości, wykorzystując edycję rejestru systemu Windows i zaplanowane zadania.
Przykład pseudokodu: hak kompilacji programu Visual Studio
<PropertyGroup>
<PreBuildEvent>
powershell -Command "download ZIP from GitHub, extract payload, and run installer"
</PreBuildEvent>
</PropertyGroup>
Pseudokod: wykonywanie w pamięci za pomocą programu PowerShell
# Decode and run base64 payload in memory
payload = decode_base64('...')
execute_in_memory(payload)
Technika ta pozwala uniknąć zapisywania danych na dysku, co pozwala atakującym ominąć wykrycie przez oprogramowanie antywirusowe i uzyskać anonimowość.
Kampania: Konta Stargazer Goblin i Ghost
Kolejny atak na dużą skalę został udokumentowany przez Check Point Research, który ujawnił, Sieć duchów Stargazers. Ta kampania wykorzystała ponad 3,000 fałszywych kont GitHub aby zwiększyć liczbę gwiazdek, forków i obserwatorów w złośliwych repozytoriach. Celem było stworzenie fałszywego poczucia legalności.
Te konta widmo pomogły w promowaniu złośliwego oprogramowania, takiego jak Złodziej Atlantydy, Lumma, Radamantys, Czerwona linia, atakując głównie deweloperów i graczy. W ciągu zaledwie czterech dni jedna fala ataków zainfekowała ponad ofiary 1,300 poprzez rozpowszechnianie zmodyfikowanych pakietów modów do gier za pośrednictwem Discorda i linków README.
Przykład pseudokodu: złośliwy plik README
# Ultimate Game Mod Pack 🕹️
Download and run the installer here:
[Download Now](https://github[dot]com/ghost/repo/releases/latest/modpack.zip)
Typowe wzorce złośliwego oprogramowania w repozytoriach gier GitHub
| Wzór | OPIS |
|---|---|
| Skrypty preinstalacyjne/kompilacyjne | Skrypty uruchamiane automatycznie podczas instalacji lub kompilacji w celu pobrania i wykonania zdalnych ładunków, często bez wiedzy użytkownika. |
| Typosquatting i fałszywe widelce | Złośliwe projekty imitujące nazwy lub strukturę popularnych narzędzi lub repozytoriów gier, aby nakłonić twórców gier do ich zainstalowania. |
| Nadużycia stron GitHub | JavaScript, obrazy lub przekierowania ukryte na stronach „github io games”, które powodują uruchomienie złośliwych skryptów w momencie załadowania strony. |
| Fałszywe sygnały popularności | Konta widmo sztucznie zwiększają liczbę gwiazdek, forków i obserwatorów, aby złośliwe repozytoria wydawały się godne zaufania. |
Te techniki nie są teoretyczne. Zostały już zaobserwowane na żywo. kampanie złośliwego oprogramowania, z których wiele było wymierzonych w deweloperów, którzy wykorzystywali repozytoria gier jako punkty wejścia.
Na szczęście niektóre platformy bezpieczeństwa potrafią wychwycić te wzorce, zanim spowodują szkody. W następnej sekcji pokażemy, jak Xygeni wykrywa, blokuje i usuwa te zagrożenia w całym systemie. SDLC.
Jak Xygeni zabezpiecza gry GitHub, odblokowane projekty i CI/CD Pipelines
Gdy ryzykowne wzorce w repozytoriach gier na platformie GitHub wyjdą na jaw, Xygeni zapewni kompleksową ochronę, aby powstrzymać zagrożenia zanim naruszą one Twoje systemy lub łańcuch dostaw.
1. Wczesne ostrzeganie: wykrywanie złośliwego oprogramowania w czasie rzeczywistym w grach i zależnościach GitHub
Xygeni Ciągle skanuje nowe pakiety w NPM, Maven, PyPI i innych. Dotyczy to również pakietów osadzonych w nieoczekiwanych miejscach, takich jak repozytoria gier lub projekty gier odblokowanych w GitHubie, udostępniane na forach lub w sieciach szkolnych. W przypadku wykrycia podejrzanego komponentu, Xygeni automatycznie poddaje go kwarantannie, blokuje jego użycie w zależnościach i wysyła alerty w czasie rzeczywistym do zespołu. Zapobiega to przedostawaniu się złośliwych pakietów do bazy kodu lub… CI/CD pipeline.
2. Z uwzględnieniem dostępności SCA z inteligentnym ustalaniem priorytetów
Zamiast przytłaczać swój zespół alertami, Xygeni ocenia, czy luka w zabezpieczeniach jest faktycznie wykorzystywana w kodzie (osiągalność) i uwzględnia ocenę ryzyka (EPS(wpływ na biznes), aby zidentyfikować najistotniejsze problemy. To znacznie redukuje hałas i gwarantuje, że Twój zespół działa w oparciu o to, co naprawdę ważne.
3. Zautomatyzowana naprawa przy użyciu Pull Requests
Gdy zostanie wykryta luka w zabezpieczeniach lub złośliwa zależność ze znaną poprawką, Xygeni automatycznie tworzy Pull Request aby zaktualizować lub naprawić problem. Przyspiesza to czas reakcji, ogranicza pracę ręczną i zapewnia pipeline bezpieczne.
4. CI/CD Kontrola bezpieczeństwa blokująca złośliwe kompilacje
Xygeni integruje się z kompilacją pipelineza pośrednictwem GitHub Actions, Jenkins, GitLab, Azure Pipelinei inne. Skanuje skrypty kompilacji, pliki Dockerfile i CI/CD konfiguruje podejrzane polecenia, takie jak odwrotne powłoki lub skrypty instalacyjne, i może zablokować kompilację, jeśli zostanie wykryty niebezpieczny kod.
5. Zbuduj integralność za pomocą atestów zgodnych ze standardem SLSA
Build Security moduł tworzy podpisane poświadczenia zgodnie z SLSA i in‑toto standards, osadzanie metadanych w źródle, zależnościach, SBOMi testów. W przypadku wystąpienia jakichkolwiek nieautoryzowanych modyfikacji, walidacja atestu kończy się niepowodzeniem i pipeline zatrzymuje się automatycznie.
6. Wykrywanie anomalii w SCM i artefakty CI
Xygeni stale monitoruje kod źródłowy i środowiska CI, aby wykrywać nietypowe zachowania, takie jak: commits omijanie ochrony gałęzi, nieznanych użytkowników lub nieoczekiwanych przyznań tokenów. W połączeniu z SAST silnik, identyfikuje ukryte tylne drzwi lub wstrzykiwane skrypty przed scaleniem lub wdrożeniem.
7. Automatyczne wykrywanie zasobów i ASPM Widoczność
Xygeni buduje inwentarz na żywo całego twojego SDLC ekosystem, w tym repozytoria, współpracownicy, pipelines, zależności i infrastruktura chmurowa. Ta widoczność umożliwia dynamiczną priorytetyzację ryzyka, mapowanie zgodności (np. NIS2, DORA) i dostarczanie dowodów gotowych do audytu bez zakłócania istniejących przepływów pracy.
Co gry GitHub oznaczają dla bezpiecznych programistów: zachowaj ciekawość, zachowaj bezpieczeństwo
- Jeśli repozytorium zawiera ukryty skrypt kompilacji pobierający złośliwy kod (np. skrypt programu PowerShell wykonywany po instalacji), Xygeni oznaczy go i zablokuje przed wykonaniem.
- Podczas scalania kodu odwołującego się do podejrzanej zależności, Xygeni blokuje ją i oferuje automatyczną naprawę za pomocą Pull Request.
- Jeśli projekt hostowany na stronach GitHub zawiera ukryte złośliwe skrypty, Xygeni SCA a wykrywanie złośliwego oprogramowania pozwala na ich identyfikację nawet wtedy, gdy są wykonywane tylko podczas ładowania strony.
- Buduj pipelines odrzuci commitjeśli skompilowane artefakty lub konfiguracje nie przejdą kontroli atestacji, uniemożliwia to dotarcie skompilowanych kompilacji do produkcji.
Dzięki Xygeni możesz nadal odkrywać i testować gry GitHub z pewnością. Każdy krok, od klonowania do wdrożenia, jest zabezpieczony. Programiści pozostają ciekawi, pipelines zachowaj bezpieczeństwo i czystość swojego łańcucha dostaw.
