Увод: Успон GitHub игара и ризици који стоје иза забаве
Ако сте икада тражили ГитХаб игре, вероватно сте наишли на све, од пуцачина у прегледачу до ретро клонова направљених помоћу Јаваскрипта или Пајтона. Ови пројекти су забавни за испробавање, лаки за покретање и често се појављују у туторијалима или форумима на Јутјубу. Као резултат тога, постали су посебно популарни у школама, где им програмери и студенти често приступају путем Игре које су деблокиране на GitHub-у или их одвојити од ГитХаб ио игре пагес.
Због ове популарности, програмери и студенти подједнако клонирају ове репозиторијуме, покрећу код и настављају даље без много размишљања. Али ево проблема: нису све ове игре онакве каквима се чине.
Неки репозиторијуми игара покрећу сумњиве скрипте за инсталацију. Други повлаче застареле или рањиве зависности. Неки чак скривају злонамерни софтвер унутар средстава, контејнера или датотека за имплементацију. Пошто многи програмери хостују ове пројекте путем ГитХаб ио игре, ризик се брзо шири и често остаје непримећен.
У овом посту ћемо истражити како репозиторијуми игара могу постати озбиљна безбедносна претња. Такође ћемо вам показати како да останете безбедни, а да не одустанете од радозналости или... CI/CD.
Зашто нападачи циљају ГитХаб игре и деблокиране репозиторијуме
На први поглед, репозиторијуми игара на ГитХабу делују безопасно. На крају крајева, то су често мали експерименти или образовни пројекти направљени за забаву. Међутим, нападачи то виде другачије. У стварности, многи такви репозиторијуми се користе као платформе за испоруку злонамерног софтвера, често прерушен у ГитХаб игре or Игре које су деблокиране на гитхабу.
На пример, актер претње познат као Старгазер Гоблин управља мрежом од преко 3,000 фантомских GitHub налога, названа „Мрежа духова звезда“. Ова група намерно звезди, форкује и прати злонамерне репозиторијуме како би повећала своју видљивост и легитимитет, обично циљајући кориснике који траже алате или варалице за игре. Ови репозиторијуми су коришћени за дистрибуцију крађа информација и ransomware-а као што су Atlantida Stealer, Rhadamanthys, Lumma Stealer и RedLine.
Штавише, још једна софистицирана кампања под називом Водена клетва наоружао је барем 76 GitHub налога, уграђујући вишестепени злонамерни софтвер у оно што изгледа као легитимни алати. Корисни терет је скривен у датотекама пројекта Visual Studio (PreBuildEvent), примењујући замаскиране скрипте и бинарне датотеке засноване на Electron-у за крађу акредитива, издвајање података из прегледача и дугорочну перзистентност. Мете укључују програмере, DevOps тимове и креаторе игара.
Нападачи користе чињеницу да многи програмери клонирају игре са GitHub-а како би их тестирали или учили од њих без прегледа кода. Слично томе, игре са GitHub-а, репозиторијуми који се служе преко GitHub страница, могу да садрже злонамерни JavaScript, слике или скрипте за преусмеравање које се извршавају када се учитају у прегледач. Пошто се многе игре са GitHub-а поново користе без дубинског прегледа, нападачи их користе за кријумчарење замаскираног кода, скривених пратилаца или преузимања окидача. Ове тактике искоришћавају поверење које програмери полажу у пројекте отвореног кода.
Укратко, популарност репозиторијума игара и пројеката са неблокираним играњем чини их плодним тлом за нападаче. Без одговарајуће провере, радознали програмер може увести злонамерни софтвер у своје окружење једноставним клонирањем или хостовањем репозиторијума игара.
Желите да обезбедите све своје GitHub пројекте?
Ако се питате како да заштитите своје GitHub репозиторијуме изван модова игре, не пропустите наш детаљни чланак о дозволама, pull requests, CI/CD интеграција и још много тога.
Обрасци злонамерног софтвера у неблокираним играма на GitHub-у и играма са GitHub IO-ом
Када програмери истражују пројекте означене као github unblocked games, многи делују безопасно. Међутим, неколико понављајућих образаца открива озбиљне претње које се лако могу превидети.
Кампања: Водена клетва
Тренд Микро је открио кампању под називом Водена клетва, у којем барем 76 GitHub налога хостовали су наоружане репозиторијуме маскиране као алати за програмере или модови за игре. Ови репозиторијуми уграђују злонамерне корисне садржаје користећи <PreBuildEvent> ознаке у датотекама пројекта Visual Studio. Током изградње, замаскиране PowerShell или VBS скрипте преузимају шифроване ZIP архиве, инсталирају бинарне датотеке засноване на Electron-у и краду акредитиве, податке прегледача и токене сесије. Злонамерни софтвер такође имплементира перзистентност путем заказаних задатака и промена у регистру.
Псеудокод у GitHub играма: кука
Псеудокод: Замаскирано извршавање PowerShell-а
Овај поједностављени пример показује како злонамерни код избегава писање на диск декодирањем и извршавањем директно у меморији.
Кампања: Водена клетва
Тренд Микро је идентификовао претећу операцију познату као Водена клетва, где су нападачи користили најмање 76 GitHub налога да хостују складишта са оружјем. Ови пројекти су изгледали као алати за програмере или модови за игре. Интерно су уграђивали злонамерну логику у датотеке за израду, посебно путем <PreBuildEvent> ознака у Visual Studio-у .csproj датотеке.
Корисни терет је укључивао вишестепене скрипте које су преузимале шифроване ZIP датотеке, распакивале датотеке и извршавале задња врата. Штавише, нападачи су додали механизме перзистентности користећи измене Windows регистра и заказане задатке.
Пример псеудокода: Visual Studio Build Hook
Псеудокод: Извршавање у меморији путем PowerShell-а
Ова техника избегава писање на диск, што помаже нападачима да заобиђу антивирусну детекцију и стекну прикривеност.
Кампања: Налози гоблина и духова Звезданог посматрача
Још један напад великих размера документовала је компанија Check Point Research, која је открила да Старгазерс Гхост НетворкОва кампања је користила преко 3,000 лажних GitHub налога да се надувају звездице, форкови и посматрачи на злонамерним репозиторијумима. Циљ је био да се створи лажни осећај легитимитета.
Ови фантомски налози су помогли у промоцији злонамерног софтвера као што је Атлантиц Стеалер, Лумма, Радамантхис, i Црвена линија, углавном усмерених на програмере и играче. За само четири дана, један талас напада је заразио више од КСНУМКС жртве ширењем модификованих пакета модова за игру путем Discord и README линкова.
Пример псеудокода: Злонамерни README
Уобичајени обрасци злонамерног софтвера у репозиторијумима игара на GitHub-у
| Образац | Opis |
|---|---|
| Скрипте за претходну инсталацију / израду | Скрипте које се аутоматски покрећу током инсталације или изградње да би преузеле и извршиле удаљене корисне податке, често без знања корисника. |
| Типосквотинг и лажне виљушке | Злонамерни пројекти који имитирају имена или структуру популарних алата или репозиторијума игара како би преварили програмере да их инсталирају. |
| Злоупотреба GitHub страница | Јаваскрипт, слике или преусмеравања скривена на страницама `github io games` која покрећу извршавање злонамерних скрипти при учитавању странице. |
| Лажни сигнали популарности | Грозни налози вештачки надувају звезде, форкове и посматраче како би злонамерни репозиторијуми изгледали поуздано. |
Ове технике нису теоријске. Већ су примећене уживо. кампање злонамерног софтвера, од којих су многи циљали програмере који користе репозиторијуме игара као улазне тачке.
Срећом, неке безбедносне платформе могу да ухвате ове обрасце пре него што изазову штету. У следећем одељку ћемо показати како Xygeni детектује, блокира и санира ове претње широм вашег SDLC.
Како Xygeni обезбеђује GitHub игре, деблокиране пројекте и CI/CD Pipelines
Када се појаве ризични обрасци у GitHub репозиторијумима игара, Xygeni пружа комплетну одбрану како би зауставио претње пре него што угрозе ваше системе или ланац снабдевања.
1. Рано упозорење: Детекција злонамерног софтвера у реалном времену у GitHub играма и зависностима
Ксигени континуирано скенира нове пакете у NPM-у, Maven-у, PyPI-ју и другим платформама. Ово укључује пакете уграђене на неочекивана места, као што су репозиторијуми игара или неблокирани пројекти игара на GitHub-у који се деле на форумима или школским мрежама. Ако се пронађе сумњива компонента, Xygeni је аутоматски ставља у карантин, блокира њену употребу у вашим зависностима и шаље упозорења у реалном времену вашем тиму. Ово спречава злонамерне корисне садржаје да уђу у вашу базу кода или CI/CD pipeline.
2. Свестан доступности SCA са интелигентним одређивањем приоритета
Уместо да затрпате свој тим упозорењима, Ксигени процењује да ли се рањивост заиста користи у вашем коду (достизност) и укључује бодовање ризика (ЕПС, утицај на пословање) како би се истакли најкритичнији проблеми. Ово значајно смањује буку и осигурава да ваш тим делује на ономе што је заиста важно.
3. Аутоматизована санација коришћењем Pull Requests
Када се открије рањивост или злонамерна зависност са познатим решењем, Xygeni аутоматски креира Pull Request да надоградите или закрпите проблем. Ово убрзава време одзива, ограничава ручни рад и одржава ваше pipeline сигурно.
4. CI/CD Безбедносне контроле за блокирање злонамерних верзија
Ксигени се интегрише са буилдом pipelineпреко GitHub Actions, Jenkins-а, GitLab-а, Azure-а Pipelineс и друге. Скенира скрипте за изградњу, Docker датотеке и CI/CD конфигурације за сумњиве команде, као што су обрнуте шкољке или инсталационе скрипте, и могу блокирати изградње ако се открије опасан код.
5. Изградите интегритет путем атестација у складу са SLSA
Build Security Модул креира потписане атестације пратећи SLSA и in-toto standardс, уграђивање метаподатака у извор, зависности, SBOM, и тестови. Ако дође до било каквих неовлашћених измена, валидација атестације не успева и pipeline аутоматски се зауставља.
6. Детекција аномалија у SCM и CI артефакти
Xygeni континуирано прати ваш изворни код и CI окружења како би открио необично понашање, као што је commitзаобилажење заштите грана, непознатих корисника или неочекиваних додела токена. У комбинацији са својим SAST мотор, идентификује скривена задња врата или убризгане скрипте пре спајања или распоређивања.
7. Аутоматизовано откривање имовине и ASPM Видљивост
Ксигени гради живи инвентар вашег целокупног SDLC екосистем, укључујући репозиторијуме, сараднике, pipelineс, зависности и cloud инфраструктуру. Ова видљивост омогућава динамичко одређивање приоритета ризика, мапирање усклађености (нпр. NIS2, DORA) и доказе спремне за ревизију без ометања постојећих токова рада.
Шта GitHub игре значе за безбедне програмере: Останите радознали, останите безбедни
- Ако репозиторијум садржи скривену скрипту за изградњу која преузима злонамерни код (нпр. PowerShell скрипту након инсталације), Xygeni ће је означити и блокирати пре извршавања.
- Приликом спајања кода који референцира сумњиву зависност, Xygeni је блокира и нуди аутоматску исправку путем Pull Request.
- Ако пројекат хостован на GitHub страницама садржи скривене злонамерне скрипте, Xygeni-јеве SCA и детекција злонамерног софтвера их идентификује чак и ако се извршавају само током учитавања странице.
- Градити pipelineће одбити commitако изграђени артефакти или конфигурације не прођу провере атестације, спречавајући угрожене израде да икада дођу до продукције.
Са Xygeni-јем, можете наставити да откривате и испробавате игре на гитхабу са поверењем. Сваки корак, од клонирања до имплементације, је заштићен. Програмери остају радознали, pipelineостају безбедни, а ваш ланац снабдевања остаје чист.
