Муқаддима: Рушди бозиҳои GitHub ва хатарҳои паси фароғат
Агар шумо ягон вақт ҷустуҷӯ карда бошед Бозиҳои GitHub, шумо эҳтимолан бо ҳама чиз, аз бозиҳои тирандозии дар асоси браузер то клонҳои ретро, ки бо JavaScript ё Python сохта шудаанд, дучор шудаед. Ин лоиҳаҳо барои санҷидан шавқоваранд, иҷро карданашон осон аст ва аксар вақт дар дарсҳо ё форумҳои YouTube пайдо мешаванд. Дар натиҷа, онҳо махсусан дар мактабҳо маъмул гаштаанд, ки дар он ҷо таҳиягарон ва донишҷӯён аксар вақт ба онҳо тавассути... Бозиҳои бемаҳдуд аз GitHub ё онҳоро аз Бозиҳои GitHub io саҳифаҳо.
Аз сабаби ин маъруфият, таҳиягарон ва донишҷӯён ин анборҳоро нусхабардорӣ мекунанд, рамзро иҷро мекунанд ва бе ягон фикру мулоҳиза ба пеш ҳаракат мекунанд. Аммо мушкил дар ин ҷост: на ҳамаи ин бозиҳо он тавре ки ба назар мерасанд, ҳастанд.
Баъзе анборҳои бозӣ скриптҳои насби шубҳанокро иҷро мекунанд. Дигарон вобастагиҳои кӯҳна ё осебпазирро ҷалб мекунанд. Баъзеҳо ҳатто нармафзори зарароварро дар дохили дороиҳо, контейнерҳо ё файлҳои ҷойгиркунӣ пинҳон мекунанд. Азбаски бисёре аз таҳиягарон ин лоиҳаҳоро тавассути Бозиҳои GitHub io, хатар зуд паҳн мешавад ва аксар вақт нодида гирифта мешавад.
Дар ин паём, мо меомӯзем, ки чӣ гуна анборҳои бозӣ метавонанд ба таҳдиди ҷиддии амниятӣ табдил ёбанд. Мо инчунин ба шумо нишон медиҳем, ки чӣ гуна бехатариро бидуни аз даст додани кунҷковӣ ё завқи худ нигоҳ доред. CI/CD.
Чаро ҳамлагарон бозиҳои GitHub ва анборҳои кушодашударо ҳадаф қарор медиҳанд
Дар назари аввал, анборҳои бозиҳо дар GitHub безарар ба назар мерасанд. Дар ниҳоят, онҳо аксар вақт таҷрибаҳои хурд ё лоиҳаҳои таълимӣ мебошанд, ки барои фароғат сохта шудаанд. Аммо, ҳамлагарон инро ба таври дигар мебинанд. Дар асл, бисёр чунин Анборҳо ҳамчун платформаҳои интиқоли нармафзори зараровар истифода мешаванд, аксар вақт ҳамчун пинҳонӣ Бозиҳои GitHub or бозиҳои бе кушодани github.
Масалан, як шахси таҳдидкунанда бо номи Stargazer Goblin шабакаи беш аз онро идора мекунад 3,000 ҳисоби Ghost GitHub, бо номи "Шабакаи арвоҳи ситорагон" маъруф аст. Ин гурӯҳ қасдан анборҳои зарароварро ситорагузорӣ, форк ва тамошо мекунанд, то намоёнӣ ва қонунияти онҳоро афзоиш диҳанд ва одатан корбаронеро, ки асбобҳо ё фиребҳои бозиро меҷӯянд, ҳадаф қарор медиҳанд. Ин анборҳо барои паҳн кардани дуздии иттилоот ва нармафзори фидягарӣ ба монанди Atlantida Stealer, Rhadamanthys, Lumma Stealer ва RedLine истифода шудаанд.
Ғайр аз ин, як маъракаи мураккаби дигар бо номи Лаънати об ҳадди аққал силоҳ сохтааст 76 ҳисоби GitHub, ҷойгир кардани нармафзори зараровари бисёрмарҳилаӣ ба абзорҳои қонунӣ. Борҳои муфид дар файлҳои лоиҳаи Visual Studio (PreBuildEvent) пинҳон карда шудаанд ва скриптҳои норавшан ва файлҳои дуӣ дар асоси Electron-ро барои дуздии эътимоднома, истихроҷи маълумоти браузер ва устувории дарозмуддат ҷойгир мекунанд. Ҳадафҳо таҳиягарон, дастаҳои DevOps ва эҷодкунандагони бозиҳоро дар бар мегиранд.
Ҳамлагарон аз он истифода мебаранд, ки бисёре аз таҳиягарон бозиҳои github-ро барои санҷидан ё омӯхтан бе баррасии рамз клон мекунанд. Ба ҳамин монанд, бозиҳои github io, ки анборҳо тавассути GitHub Pages пешниҳод карда мешаванд, метавонанд JavaScript-и зараровар, тасвирҳо ё скриптҳои равонакуниро дар бар гиранд, ки ҳангоми боркунӣ дар браузер иҷро мешаванд. Азбаски бисёре аз бозиҳои github io бидуни санҷиши амиқ форк карда мешаванд ва дубора истифода мешаванд, ҳамлагарон онҳоро барои интиқоли рамзи печида, трекерҳои пинҳон ё триггерҳои зеркашӣ истифода мебаранд. Ин тактикаҳо аз эътимоди таҳиягарон дар лоиҳаҳои кушодаасос истифода мебаранд.
Хулоса, маъруфияти анборҳои бозӣ ва лоиҳаҳои кушодани бозӣ онҳоро барои ҳамлагарон заминаи мусоид мегардонад. Бе санҷиши дуруст, як таҳиягари кунҷков метавонад нармафзори зарароварро танҳо бо роҳи клон кардан ё ҷойгир кардани анбори бозӣ ба муҳити худ ворид кунад.
Мехоҳед ҳамаи лоиҳаҳои GitHub-и худро ҳифз кунед?
Агар шумо дар ҳайрат бошед, ки чӣ гуна анборҳои GitHub-и худро берун аз модҳои бозӣ муҳофизат кунед, пости муфассали моро дар бораи иҷозатҳо аз даст надиҳед. pull requests, CI/CD ҳамгироӣ ва ғайра.
Намунаҳои нармафзори зараровар дар бозиҳои GitHub Unblocked ва GitHub IO Games
Вақте ки таҳиягарон лоиҳаҳоеро меомӯзанд, ки бо номи github unblocked games, бисёре аз онҳо безарар ба назар мерасанд. Аммо, якчанд намунаҳои такроршаванда таҳдидҳои ҷиддиеро нишон медиҳанд, ки ба осонӣ аз онҳо чашм пӯшидан мумкин аст.
Маърака: Лаънати об
Trend Micro як маъракаи таблиғотиро бо номи "..." ошкор кард. Лаънати об, ки дар он ҳадди аққал 76 ҳисоби GitHub анборҳои силоҳдоршудаи мизбон, ки ниқобҳои абзорҳои таҳиягар ё модҳои бозӣ мебошанд. Ин анборҳо бо истифода аз борҳои зараровар ҷойгир карда мешаванд <PreBuildEvent> тегҳо дар файлҳои лоиҳаи Visual Studio. Ҳангоми сохтан, скриптҳои норавшани PowerShell ё VBS бойгониҳои ZIP-и рамзгузоришударо зеркашӣ мекунанд, файлҳои дуӣ дар асоси Electron-ро насб мекунанд ва эътимодномаҳо, маълумоти браузер ва токенҳои сессияро хориҷ мекунанд. Нармафзори зараровар инчунин устувориро тавассути вазифаҳои ба нақша гирифташуда ва тағиротҳои феҳрист амалӣ мекунад.
Псевдокод дар бозиҳои GitHub: чангак
<PropertyGroup>
<PreBuildEvent>
powershell -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "download ZIP from GitHub → extract payload → run installer"
</PreBuildEvent>
</PropertyGroup>
Коди псевдокод: Иҷрои норавшани PowerShell
# decode base64 payload
payload = decode_base64('...')
# run in memory
execute_in_memory(payload)
Ин мисоли соддакардашуда нишон медиҳад, ки чӣ гуна рамзи зараровар тавассути рамзкушоӣ ва иҷро мустақиман дар хотира аз навиштани диск канорагирӣ мекунад.
Маърака: Лаънати об
Trend Micro як амалиёти таҳдидкунандаро муайян кард, ки бо номи Лаънати об, ки дар он ҳамлагарон ҳадди аққал истифода бурданд 76 ҳисоби GitHub барои ҷойгир кардани анборҳои силоҳдоршуда. Ин лоиҳаҳо ба назар чунин менамуд, ки абзорҳои таҳиягар ё модҳои бозӣ мебошанд. Дар дохили онҳо, онҳо мантиқи зарароварро дар файлҳои сохташуда ҷойгир карданд, махсусан тавассути <PreBuildEvent> барчасп дар Visual Studio .csproj файлҳо.
Борҳои муфид скриптҳои бисёрмарҳилавиро дар бар мегирифтанд, ки файлҳои ZIP-и рамзгузоришударо зеркашӣ мекарданд, файлҳоро истихроҷ мекарданд ва дарҳои пуштибонро иҷро мекарданд. Ғайр аз ин, ҳамлагарон механизмҳои устувориро бо истифода аз таҳрири сабти номи Windows ва вазифаҳои ба нақша гирифташуда илова карданд.
Намунаи рамзи псевдокод: Қалмоқи сохтани Visual Studio
<PropertyGroup>
<PreBuildEvent>
powershell -Command "download ZIP from GitHub, extract payload, and run installer"
</PreBuildEvent>
</PropertyGroup>
Псевдокод: Иҷрои дар хотира тавассути PowerShell
# Decode and run base64 payload in memory
payload = decode_base64('...')
execute_in_memory(payload)
Ин усул аз навиштан ба диск худдорӣ мекунад, ки ба ҳамлагарон кӯмак мекунад, ки аз ошкоркунии антивирус гузаранд ва пинҳон шаванд.
Маърака: Старгейзер Гоблин ва ҳисобҳои арвоҳ
Як ҳамлаи бузурги дигар аз ҷониби Check Point Research сабт шудааст, ки ошкор кард Шабакаи арвоҳии ситорашиносонИн маърака беш аз ... истифода шудааст. 3,000 ҳисоби қалбакии GitHub ситораҳо, чангакҳо ва тамошобинонро дар анборҳои зараровар пур кардан. Ҳадаф эҷоди эҳсоси бардурӯғи қонуният буд.
Ин ҳисобҳои арвоҳӣ ба таблиғи зараровар ба монанди Дуздии Атлантик, Лумма, Радамантисва RedLine, асосан таҳиягарон ва бозигаронро ҳадаф қарор медиҳад. Танҳо дар чор рӯз як мавҷи ҳамла ба беш аз Қурбониёни 1,300 тавассути паҳн кардани бастаҳои тағйирёфтаи модҳои бозӣ тавассути пайвандҳои Discord ва README.
Намунаи псевдокод: README-и зараровар
# Ultimate Game Mod Pack 🕹️
Download and run the installer here:
[Download Now](https://github[dot]com/ghost/repo/releases/latest/modpack.zip)
Намунаҳои маъмули нармафзори зараровар дар анборҳои бозиҳои GitHub
| намуна | Тавсифи |
|---|---|
| Скриптҳои пешакӣ насбшуда / сохташуда | Скриптҳое, ки ҳангоми насб ё сохтан барои гирифтан ва иҷро кардани борҳои дурдаст ба таври худкор кор мекунанд, аксар вақт бе огоҳии корбар. |
| Типосквотинг ва чангакҳои қалбакӣ | Лоиҳаҳои зарароваре, ки номҳо ё сохтори абзорҳои маъмул ё анборҳои бозиро тақлид мекунанд, то таҳиягаронро ба насб кардани онҳо фиреб диҳанд. |
| Сӯиистифода аз саҳифаҳои GitHub | JavaScript, тасвирҳо ё равонакуниҳо дар саҳифаҳои "github io games" пинҳон карда шудаанд, ки иҷрои скриптҳои зарароварро ҳангоми боркунии саҳифа ба вуҷуд меоранд. |
| Сигналҳои маъруфияти қалбакӣ | Ҳисобҳои арвоҳ ситораҳо, чангакҳо ва нозиронро ба таври сунъӣ пур мекунанд, то анборҳои зарароварро боэътимод нишон диҳанд. |
Ин усулҳо назариявӣ нестанд. Онҳо аллакай дар ҳаёт мушоҳида шудаанд. маъракаҳои нармафзори зараровар, ки бисёре аз онҳо ба таҳиягароне нигаронида шуда буданд, ки анборҳои бозиро ҳамчун нуқтаҳои вуруд истифода мебаранд.
Хушбахтона, баъзе платформаҳои амниятӣ метавонанд ин нақшҳоро пеш аз он ки онҳо зарар расонанд, пайгирӣ кунанд. Дар бахши оянда, мо нишон медиҳем, ки чӣ гуна Xygeni ин таҳдидҳоро дар саросари шумо муайян, масдуд ва бартараф мекунад. SDLC.
Чӣ тавр Xygeni бозиҳои GitHub, лоиҳаҳои кушодашуда ва ғайраро таъмин мекунад CI/CD Pipelines
Вақте ки намунаҳои хатарнок дар анборҳои бозиҳои GitHub пайдо мешаванд, Xygeni як мудофиаи пурраро барои пешгирӣ кардани таҳдидҳо пеш аз он ки онҳо ба системаҳо ё занҷираи таъминоти шумо зарар расонанд, пешниҳод мекунад.
1. Огоҳии барвақт: Муайян кардани нармафзори зараровар дар вақти воқеӣ дар бозиҳо ва вобастагиҳои GitHub
Ксигенӣ бастаҳои навро дар NPM, Maven, PyPI ва ғайра пайваста скан мекунад. Ин бастаҳоеро дар бар мегирад, ки дар ҷойҳои ғайричашмдошт ҷойгир шудаанд, ба монанди анборҳои бозӣ ё лоиҳаҳои бозиҳои бе кушодашудаи github, ки дар форумҳо ё шабакаҳои мактабӣ мубодила мешаванд. Агар ҷузъи шубҳанок пайдо шавад, Xygeni онро ба таври худкор карантин мекунад, истифодаи онро дар вобастагиҳои шумо масдуд мекунад ва ба дастаи шумо огоҳиҳои вақти воқеӣ мефиристад. Ин аз ворид шудани борҳои зараровар ба пойгоҳи рамзи шумо ё CI/CD pipeline.
2. Огоҳӣ аз дастрасӣ SCA бо афзалиятдиҳии интеллектуалӣ
Ба ҷои он ки дастаи худро бо огоҳиҳо пур кунед, Ксигенӣ арзёбӣ мекунад, ки оё осебпазирӣ дар рамзи шумо воқеан истифода шудааст (дастрасӣ) ва баҳодиҳии хатарро дар бар мегирад (EPSS, таъсири тиҷоратӣ) барои ошкор кардани масъалаҳои муҳимтарин. Ин садоро ба таври назаррас коҳиш медиҳад ва кафолат медиҳад, ки дастаи шумо мувофиқи он чизе, ки воқеан муҳим аст, амал мекунад.
3. Истифодаи барқарорсозии автоматӣ Pull Requests
Вақте ки осебпазирӣ ё вобастагии зараровар бо ислоҳи маълум муайян карда мешавад, Xygeni ба таври худкор эҷод мекунад Pull Request барои навсозӣ ё ислоҳи мушкилот. Ин вақти посухро тезонад, кори дастиро маҳдуд кунад ва pipeline эмин.
4. CI/CD Назорати амниятӣ барои пешгирии сохтмонҳои зараровар
Xygeni бо сохтмон ҳамгиро мешавад pipelines тавассути GitHub Actions, Jenkins, GitLab, Azure Pipelines ва дигарон. Он скриптҳои сохтмон, файлҳои Docker ва CI/CD конфигуратсияҳоро барои фармонҳои шубҳанок, ба монанди қабатҳои баръакс ё скриптҳои насбкунӣ танзим мекунад ва метавонад дар сурати ошкор шудани рамзи хатарнок, сохтаҳоро масдуд кунад.
5. Тавассути шаҳодатномаҳои мутобиқ ба SLSA, якпорчагиро тақвият диҳед
Дар Build Security модул шаҳодатномаҳои имзошударо мувофиқи SLSA ва in-toto эҷод мекунад standardс, ҷойгиркунии метамаълумот дар манбаъ, вобастагиҳо, SBOM, ва санҷишҳо. Агар ягон тағйироти беиҷозат ба амал ояд, тасдиқи сертификатсия ноком мешавад ва pipeline ба таври худкор қатъ мешавад.
6. Ошкоркунии аномалия дар SCM ва артефактҳои CI
Xygeni пайваста рамзи сарчашма ва муҳитҳои CI-и шуморо назорат мекунад, то рафтори ғайриоддиро муайян кунад, ба монанди commits аз ҳимояи филиал, корбарони номаълум ё грантҳои токенҳои ғайричашмдошт гузаштан. Дар якҷоягӣ бо он SAST муҳаррик, он дарҳои пинҳонии қафоро муайян мекунад ё скриптҳои воридшуда пеш аз якҷоякунӣ ё ҷойгиркунӣ.
7. Кашфи автоматии дороиҳо ва ASPM аёнӣ
Xygeni як месозад инвентаризатсияи зинда аз тамоми шумо SDLC экосистема, аз ҷумла анборҳо, ҳамкорон, pipelineс, вобастагиҳо ва инфрасохтори абрӣ. Ин намоёнӣ имкон медиҳад, ки афзалияти динамикии хатарҳо, харитасозии мутобиқат (масалан, NIS2, DORA) ва далелҳои омода барои аудит бидуни халалдор кардани ҷараёнҳои кории мавҷуда таъмин карда шаванд.
Бозиҳои GitHub барои таҳиягарони амн чӣ маъно доранд: Кунҷков бошед, бехатар бошед
- Агар анбор скрипти пинҳонии сохташударо дар бар гирад, ки рамзи зарароварро зеркашӣ мекунад (масалан, скрипти PowerShell пас аз насб), Xygeni онро пеш аз иҷро қайд ва масдуд мекунад.
- Ҳангоми якҷоя кардани рамзе, ки ба вобастагии шубҳанок ишора мекунад, Xygeni ҳам онро масдуд мекунад ва ҳам ислоҳи худкорро тавассути ... пешниҳод мекунад Pull Request.
- Агар лоиҳаи GitHub Pages, ки дар он мизбонӣ шудааст, скриптҳои зараровари пинҳон дошта бошад, Xygeni-и SCA ва ошкор кардани нармафзори зараровар онҳоро ҳатто агар онҳо танҳо ҳангоми боркунии саҳифа иҷро шаванд ҳам, муайян мекунад.
- сохтан pipelineс рад мекунад commitагар артефактҳо ё конфигуратсияҳои сохташуда санҷишҳои сертификатсияро ноком кунанд, ин аз расидани сохторҳои осебдида ба истеҳсолот пешгирӣ мекунад.
Бо Xygeni, шумо метавонед кашф ва озмоишро идома диҳед бозиҳои github бо эътимод. Ҳар як қадам, аз клонкунӣ то ҷойгиркунӣ, ҳифз карда мешавад. Таҳиягарон кунҷков боқӣ мемонанд, pipelineбехатар бошед ва занҷираи таъминоти шумо тоза боқӣ мемонад.
