GitHub-ის 61 საჯარო რეპოზიტორიაზე მიწოდების ჯაჭვზე თავდასხმის კამპანია დაიწყო
მკვლევრებმა 83 შეტევა გამოავლინეს, რომელთა მიზანიც CI/CD გარემოში ბრძანებების გაშვება და წვდომის მონაცემების მოპარვა იყო.
The Registerორიგინალი The Register-ზე
ორიგინალი და წყარო
ორიგინალი გამოქვეყნდა
ქართული თარგმანიინგლისური ენიდან ქართულად
წყარო: The Register. ქართული თარგმანი: შიკრიკი.
ორიგინალის სათაური
Attackers turn GitHub issues into supply chain campaign against 61 public repos in less than an hour
ტექნოლოგია4 წუთის საკითხავი
ტექსტი ავტომატურად ითარგმნა. წყარო: The Register.
„სამუშაო პროცესი ერთ წამზე ნაკლებ დროში ავტომატურად იწყება და, თუ ის მოწყვლადია, თავდასხმაც წარმატებით სრულდება“
მკვლევრებმა GitHub-ის 61 საჯარო რეპოზიტორიაზე სულ მცირე 83 თავდასხმა გამოავლინეს. სამიზნეებს შორისაა ისეთი პოპულარული ღია კოდის პროექტები, როგორიცაა Google LangExtract, Trivy, Brave browser და MLflow. მათი ეჭვით, კოორდინირებული კამპანიის მიზანი CI/CD გარემოში ბრძანებების გაშვება, ასევე წვდომის მონაცემებისა და ტოკენების მოპარვა იყო.
კიბერუსაფრთხოების კომპანია Radware-ის საფრთხეების მკვლევრებმა The Register-თან ექსკლუზიურ ინტერვიუში განაცხადეს, რომ ყველაფერი ძალიან სწრაფად მოხდა. მავნე მასალების უმეტესობა, 77, 1 სექტემბერს 43 წუთის განმავლობაში გამოქვეყნდა. დარჩენილი ექვსი კი მომდევნო ორ წუთში გავრცელდა.
Radware-ის ვიცე-პრეზიდენტმა და მკვლევარმა გაბი ნაკიბლიმ The Register-ს განუცხადა, რომ მათი ვარაუდით, საბოლოო მიზანი მიწოდების ჯაჭვზე თავდასხმა იყო. თავდამსხმელი რეპოზიტორიის წვდომის მონაცემებს მოიპოვებდა, შემდეგ კი კოდის შეცვლას შეძლებდა, როგორც მოესურვებოდა, და მავნე ცვლილებებს სხვებსაც გაუზიარებდა.
ნაკიბლი და Radware-ის კიდევ ერთი მკვლევარი, ზვიკა ბაბო, ვარაუდობენ, რომ მიწოდების ჯაჭვზე თავდასხმების ამ კამპანიის უკან ერთი ადამიანი იდგა. თავდამსხმელმა GitHub-ის 74 სხვადასხვა ანგარიში გამოიყენა. ბევრ მათგანს განვითარების პროექტებში მუშაობის სარწმუნო ისტორია ჰქონდა, რაც იმაზე მიუთითებს, რომ ანგარიშები, სავარაუდოდ, გატეხილი იყო.
მკვლევრებმა The Register-ს წინასწარ გაუზიარეს კვლევა. მათ დაწერეს, რომ ათობით ანგარიშმა ერთსა და იმავე დღეს, დროის მოკლე მონაკვეთში და ერთი ინფრასტრუქტურის გამოყენებით ერთნაირი ტიპის მავნე დატვირთვა გამოაქვეყნა. მათი შეფასებით, ეს კოორდინირებულ მოქმედებაზე მიუთითებს.
მკვლევრებმა კამპანია GitHub-ში მოთხოვნის ინექციის შესწავლისას აღმოაჩინეს. მათი თქმით, თავდასხმის სქემა ამ კამპანიას ახლებურსა და განსაკუთრებით შეუმჩნეველს ხდის.
თავდამსხმელი ჯერ აქვეყნებს საკითხს, ცვლილების მოთხოვნას ან კომენტარს, რომელიც HTML-კომენტარებში დამალულ მავნე ბრძანებებს შეიცავს. ამის შედეგად, შიგთავსი გვერდზე ხილული არ არის. გარდა ამისა, GitHub-ის მოვლენამ, მაგალითად, ცვლილების მოთხოვნამ ან საკითხმა, შესაძლოა სამუშაო პროცესი ავტომატურად აამოქმედოს, თუ რეპოზიტორია ამ მოვლენაზე რეაგირებისთვის არის გამართული. ამ ეტაპზე თავდამსხმელს უშუალო ჩარევა თითქმის აღარ სჭირდება.
ნაკიბლიმ თქვა, რომ სამუშაო პროცესი ერთ წამზე ნაკლებ დროში ავტომატურად იწყება და, თუ ის მართლაც მოწყვლადია, თავდასხმაც წარმატებით სრულდება.
სხვა ამბები
The Register
ამავე გამოცემის სხვა ამბები.
Google-ის ხელოვნური ინტელექტით მომუშავე ძიებას ნაკლები შემოსავალი მოაქვს
The Register
Google struggling to make AI Mode searches pay
კომენტარი (0)
გაგვიზიარე შენი აზრი.
კომენტარები ავტომატურად მოწმდება.
აზრის გასაზიარებლად შექმენი ანგარიში ან შედი.
კომენტარები ჯერ არ არის. დაწერე პირველი.