Вступ: Зростання популярності ігор на GitHub та ризики, що стоять за розвагами
Якщо ви коли-небудь шукали Ігри на GitHub, ви, ймовірно, стикалися з усім: від браузерних шутерів до ретро-клонів, створених за допомогою JavaScript або Python. Ці проекти цікаві для випробування, їх легко запускати, і вони часто з’являються в навчальних посібниках або на форумах YouTube. Як результат, вони стали особливо популярними в школах, де розробники та студенти часто отримують до них доступ через Розблоковані ігри на GitHub або відгалужувати їх від Ігри GitHub для роботи з іграми сторінок.
Через цю популярність розробники та студенти клонують ці репозиторії, запускають код і йдуть далі без особливих роздумів. Але ось у чому проблема: не всі ці ігри є такими, якими здаються.
Деякі ігрові репозиторії використовують сумнівні скрипти встановлення. Інші затягують застарілі або вразливі залежності. Деякі навіть приховують шкідливе програмне забезпечення всередині ресурсів, контейнерів або файлів розгортання. Оскільки багато розробників розміщують ці проекти через Ігри GitHub для роботи з іграми, ризик поширюється швидко і часто залишається непоміченим.
У цій публікації ми розглянемо, як ігрові репозиторії можуть стати серйозною загрозою безпеці. Ми також покажемо вам, як залишатися в безпеці, не втрачаючи своєї цікавості чи... CI/CD.
Чому зловмисники атакують ігри GitHub та розблоковані репозиторії
На перший погляд, ігрові репозиторії на GitHub здаються нешкідливими. Зрештою, це часто невеликі експерименти або освітні проекти, створені для розваги. Однак зловмисники бачать це по-іншому. Насправді багато таких репозиторії використовуються як платформи для доставки шкідливого програмного забезпечення, часто маскується під Ігри на GitHub or розблоковані ігри на github.
Наприклад, актор-злочинець, відомий як Звіздар Гоблін керує мережею з понад 3,000 фіктивних облікових записів GitHub, що отримала назву «Мережа привидів зірок». Ця група навмисно реєструє, розщеплює та спостерігає за шкідливими репозиторіями, щоб підвищити свою видимість та легітимність, зазвичай націлюючись на користувачів, які шукають інструменти або ігрові чіти. Ці репозиторії використовувалися для розповсюдження програм-викрадачів інформації та програм-вимагачів, таких як Atlantida Stealer, Rhadamanthys, Lumma Stealer та RedLine.
Більше того, ще одна складна кампанія під назвою Прокляття води озброїв щонайменше 76 облікових записів GitHub, вбудовуючи багатоетапне шкідливе програмне забезпечення в те, що виглядає як легітимні інструменти. Корисне навантаження приховано у файлах проекту Visual Studio (PreBuildEvent), розгортаючи обфусковані скрипти та бінарні файли на основі Electron для крадіжки облікових даних, вилучення даних браузера та довгострокового зберігання. Цілями є розробники, команди DevOps та творці ігор.
Зловмисники користуються тим фактом, що багато розробників клонують ігри з GitHub для тестування або навчання на них, не переглядаючи код. Аналогічно, ігри з GitHub IO, репозиторії, що розміщуються через GitHub Pages, можуть містити шкідливий JavaScript, зображення або скрипти перенаправлення, які виконуються під час завантаження в браузері. Оскільки багато ігор з GitHub IO розгалужуються та повторно використовуються без глибокої перевірки, зловмисники використовують їх для контрабанди обфускованого коду, прихованих трекерів або завантаження тригерів. Ці тактики експлуатують довіру розробників до проектів з відкритим кодом.
Коротше кажучи, популярність ігрових репозиторіїв та проектів з неблокованою грою робить їх благодатним ґрунтом для зловмисників. Без належної перевірки допитливий розробник може впровадити шкідливе програмне забезпечення у своє середовище, просто клонуючи або розміщуючи ігровий репозиторій.
Хочете захистити всі свої проекти на GitHub?
Якщо ви цікавитеся, як захистити свої репозиторії GitHub окрім ігрових модів, не пропустіть нашу детальну публікацію про дозволи, pull requests, CI/CD інтеграція та інше.
Шаблони шкідливого програмного забезпечення в розблокованих іграх GitHub та іграх GitHub IO
Коли розробники досліджують проекти, позначені як github unblocked games, багато з них здаються нешкідливими. Однак кілька повторюваних закономірностей виявляють серйозні загрози, які можна легко пропустити.
Кампанія: Прокляття води
Trend Micro виявила кампанію під назвою Прокляття води, в якому принаймні 76 облікових записів GitHub розміщені репозиторії зі зброєю, масковані під інструменти розробника або ігрові моди. Ці репозиторії вбудовують шкідливі корисні навантаження, використовуючи <PreBuildEvent> теги у файлах проектів Visual Studio. Під час збірки обфусковані скрипти PowerShell або VBS завантажують зашифровані ZIP-архіви, встановлюють бінарні файли на основі Electron та викрадають облікові дані, дані браузера та токени сеансу. Шкідливе програмне забезпечення також реалізує персистентність через заплановані завдання та зміни в реєстрі.
Псевдокод в іграх GitHub: гак
<PropertyGroup>
<PreBuildEvent>
powershell -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "download ZIP from GitHub → extract payload → run installer"
</PreBuildEvent>
</PropertyGroup>
Псевдокод: Завуальоване виконання PowerShell
# decode base64 payload
payload = decode_base64('...')
# run in memory
execute_in_memory(payload)
Цей спрощений приклад показує, як шкідливий код уникає запису на диск, декодуючи та виконуючи безпосередньо в пам'яті.
Кампанія: Прокляття води
Trend Micro виявила операцію з загрозою, відому як Прокляття води, де зловмисники використовували щонайменше 76 облікових записів GitHub для розміщення репозиторіїв зброї. Ці проекти виглядали як інструменти розробника або ігрові моди. Внутрішньо вони вбудовували шкідливу логіку у файли збірки, особливо через <PreBuildEvent> тег у Visual Studio .csproj файли.
Корисне навантаження включало багатоетапні скрипти, які завантажували зашифровані ZIP-архіви, розпаковували файли та запускали бекдори. Крім того, зловмисники додавали механізми збереження, використовуючи редагування реєстру Windows та заплановані завдання.
Приклад псевдокоду: хук збірки Visual Studio
<PropertyGroup>
<PreBuildEvent>
powershell -Command "download ZIP from GitHub, extract payload, and run installer"
</PreBuildEvent>
</PropertyGroup>
Псевдокод: Виконання в пам'яті через PowerShell
# Decode and run base64 payload in memory
payload = decode_base64('...')
execute_in_memory(payload)
Цей метод дозволяє уникнути запису на диск, що допомагає зловмисникам обійти виявлення антивірусом та отримати непомітний захист.
Кампанія: Облікові записи гоблінів та привидів Stargazer
Ще одну масштабну атаку задокументувала компанія Check Point Research, яка виявила, що Мережа привидів StargazersЦя кампанія використала понад 3,000 фальшивих облікових записів GitHub роздувати зірки, форки та спостерігачі на шкідливих репозиторіях. Метою було створити хибне відчуття легітимності.
Ці облікові записи-примари сприяли поширенню шкідливих програм, таких як Викрадач Атлантиди, Лумма, Радамантіс та Червона лінія, здебільшого спрямованих на розробників та геймерів. Лише за чотири дні одна хвиля атаки заразила понад жертви 1,300 шляхом поширення модифікованих пакетів ігрових модів через посилання Discord та README.
Приклад псевдокоду: Шкідливий README
# Ultimate Game Mod Pack 🕹️
Download and run the installer here:
[Download Now](https://github[dot]com/ghost/repo/releases/latest/modpack.zip)
Поширені шаблони шкідливого програмного забезпечення в репозиторіях ігор GitHub
| Викрійки | Опис |
|---|---|
| Скрипти попередньої інсталяції / збірки | Скрипти, що запускаються автоматично під час встановлення або збірки для отримання та виконання віддалених корисних навантажень, часто без відома користувача. |
| Опечатки та фальшиві виделки | Шкідливі проекти, що імітують назви або структуру популярних інструментів чи ігрових репозиторіїв, щоб обманом змусити розробників встановити їх. |
| Зловживання сторінками GitHub | JavaScript, зображення або перенаправлення, приховані на сторінках `github io games`, які запускають виконання шкідливих скриптів під час завантаження сторінки. |
| Фальшиві сигнали популярності | Примарні облікові записи, що штучно завищують значення зірок, форків та спостерігачів, щоб шкідливі репозиторії виглядали надійними. |
Ці методи не є теоретичними. Їх вже спостерігали в реальному часі. кампанії зі шкідливим програмним забезпеченням, багато з яких були спрямовані на розробників, що використовують ігрові репозиторії як точки входу.
На щастя, деякі платформи безпеки можуть виявляти ці закономірності, перш ніж вони завдадуть шкоди. У наступному розділі ми покажемо, як Xygeni виявляє, блокує та усуває ці загрози у вашій мережі. SDLC.
Як Xygeni захищає ігри GitHub, розблоковані проекти та CI/CD Pipelines
Коли в ігрових репозиторіях GitHub виявляються ризиковані шаблони, Xygeni забезпечує повноцінний захист, щоб зупинити загрози, перш ніж вони скомпрометують ваші системи або ланцюг поставок.
1. Раннє попередження: виявлення шкідливого програмного забезпечення в режимі реального часу в іграх та залежностях GitHub
Ксігені постійно сканує нові пакети в NPM, Maven, PyPI та інших платформах. Це включає пакети, вбудовані в неочікувані місця, такі як ігрові репозиторії або нерозблоковані ігрові проекти на GitHub, що поширюються на форумах або в шкільних мережах. Якщо виявлено підозрілий компонент, Xygeni автоматично поміщає його в карантин, блокує його використання у ваших залежностях та надсилає сповіщення в режимі реального часу вашій команді. Це запобігає потраплянню шкідливих корисних навантажень у вашу кодову базу або CI/CD pipeline.
2. З урахуванням досяжності SCA з інтелектуальною пріоритезацією
Замість того, щоб перевантажувати свою команду сповіщеннями, Ксігені оцінює, чи дійсно використовується вразливість у вашому коді (доступність) та включає оцінку ризику (EPSS, вплив на бізнес), щоб виявити найважливіші проблеми. Це значно зменшує шум і гарантує, що ваша команда діє над тим, що дійсно важливо.
3. Автоматизоване виправлення за допомогою Pull Requests
Коли виявляється вразливість або шкідлива залежність за допомогою відомого виправлення, Xygeni автоматично створює Pull Request оновити або виправити проблему. Це пришвидшує час реагування, обмежує ручну роботу та зберігає вашу pipeline захищений.
4. CI/CD Засоби безпеки для блокування шкідливих збірок
Xygeni інтегрується зі збіркою pipelineчерез дії GitHub, Jenkins, GitLab, Azure Pipelines та інші. Він сканує скрипти збірки, Docker-файли та CI/CD конфігурації для підозрілих команд, таких як зворотні оболонки або скрипти встановлення, і можуть блокувати збірки, якщо виявлено небезпечний код.
5. Зміцнення цілісності за допомогою атестацій, що відповідають вимогам SLSA
Команда Build Security Модуль створює підписані атестації відповідно до SLSA та in-toto standardвбудовування метаданих у вихідний код, залежності, SBOM, та тести. Якщо відбуваються будь-які несанкціоновані зміни, перевірка атестації не проходить, і pipeline зупиняється автоматично.
6. Виявлення аномалій у SCM та артефакти CI
Xygeni постійно контролює ваш вихідний код та середовища неперевершеної інтеграції (CI), щоб виявляти незвичайну поведінку, таку як commitобхід захисту гілок, невідомих користувачів або неочікуваних грантів токенів. У поєднанні з його SAST двигун, він виявляє приховані задні ходи або введені скрипти перед об'єднанням або розгортанням.
7. Автоматизоване виявлення активів та ASPM Видимість
Xygeni будує активний інвентар всього вашого SDLC екосистема, включаючи репозиторії, колаборантів, pipeline, залежності та хмарна інфраструктура. Така видимість дозволяє динамічно визначати пріоритети ризиків, створювати зіставлення відповідності (наприклад, NIS2, DORA) та отримувати докази, готові до аудиту, без порушення існуючих робочих процесів.
Що означають ігри GitHub для безпечних розробників: залишайтеся допитливими, залишайтеся в безпеці
- Якщо репозиторій містить прихований скрипт збірки, який завантажує шкідливий код (наприклад, пост-інсталяційний скрипт PowerShell), Xygeni позначить та заблокує його перед виконанням.
- Під час об'єднання коду, який посилається на підозрілу залежність, Xygeni блокує її та пропонує автоматичне виправлення через Pull Request.
- Якщо розміщений на GitHub Pages проєкт містить приховані шкідливі скрипти, Xygeni SCA а виявлення шкідливих програм ідентифікує їх, навіть якщо вони виконуються лише під час завантаження сторінки.
- Будувати pipelineвідхилить commitякщо зібрані артефакти або конфігурації не проходять перевірки атестації, це запобігає потраплянню скомпрометованих збірок до робочої версії.
З Xygeni ви можете продовжувати відкривати та пробувати ігри на github з упевненістю. Кожен крок, від клонування до розгортання, захищений. Розробникам залишається цікаво, pipelineзалишаються в безпеці, а ваш ланцюг поставок залишається чистим.
