Ẹgbẹ ti a ko mọ ti awọn oṣere ihalẹ ṣe agbekalẹ cyberattack pq ipese fafa kan lori awọn ọmọ ẹgbẹ ti agbari Top.gg GitHub ati awọn olupilẹṣẹ kọọkan lati fi koodu irira sinu ilolupo koodu.
Awọn ikọlu naa wọ inu awọn eroja idagbasoke sọfitiwia ti o ni igbẹkẹle lati ba awọn olupilẹṣẹ jẹ. Wọn ji awọn akọọlẹ GitHub pẹlu awọn kuki ti wọn ji, ṣe alabapin koodu irira nipasẹ awọn iṣe ti a rii daju, ṣeto digi irorẹ Python kan, ati tu awọn idii ibajẹ silẹ lori iforukọsilẹ PyPi.
“Ọpọlọpọ awọn TTP ṣe iranlọwọ fun awọn ikọlu lati ṣẹda awọn ikọlu fafa, yago fun wiwa, mu awọn aye ilokulo aṣeyọri pọ si, ati awọn akitiyan aabo idiju,” ni Jossef Harush Kadouri, ori aabo pq ipese sọfitiwia ni Checkmarx sọ.
Awọn ikọlu naa lo ilana imudani ti o ni idaniloju pẹlu digi Python iro-ašẹ ti o jọra ti osise lati tan awọn olumulo jẹ, ni ibamu si ifiweranṣẹ bulọọgi nipasẹ awọn oniwadi Checkmarx.
Nipa fọwọkan pẹlu awọn idii Python olokiki bii Colorama - eyiti o jẹ lilo nipasẹ diẹ sii ju awọn olumulo miliọnu 150 lati jẹ ki ilana ti ọna kika ọrọ jẹ irọrun - awọn ikọlu naa fi koodu irira pamọ laarin sọfitiwia ti o dabi ẹni pe o tọ, faagun arọwọto wọn kọja awọn ibi ipamọ GitHub.
Wọn tun lo awọn akọọlẹ GitHub Top.gg olokiki giga lati fi awọn iṣe irira sii ati mu igbẹkẹle awọn iṣe wọn pọ si. Top.gg jẹ awọn ọmọ ẹgbẹ 170,000.
Ole Data
Ni ipele ikẹhin ti ikọlu naa, malware ti a lo nipasẹ ẹgbẹ irokeke ji alaye ifura lati olufaragba naa. O le fojusi awọn iru ẹrọ olumulo olokiki pẹlu awọn aṣawakiri wẹẹbu bii Opera, Chrome, ati Edge - awọn kuki ti o fojusi, data kikun, ati awọn iwe-ẹri. malware naa tun fa awọn akọọlẹ Discord jade ati ilokulo awọn ami aibikita lati ni iraye si laigba aṣẹ si awọn akọọlẹ olufaragba lori pẹpẹ.
malware le ji awọn apamọwọ cryptocurrency ti olufaragba, data igba Telegram, ati alaye profaili Instagram. Ninu oju iṣẹlẹ ti o kẹhin, ikọlu naa nlo awọn ami igba ipade olufaragba lati gba awọn alaye akọọlẹ wọn pada, ni lilo keylogger kan lati gba awọn bọtini bọtini, ti o le ba awọn ọrọ igbaniwọle ati awọn ifiranṣẹ ti ara ẹni jẹ.
Awọn data jile lati awọn ikọlu ẹni kọọkan ni a yọkuro si olupin ikọlu naa ni lilo ọpọlọpọ awọn ilana, pẹlu awọn iṣẹ pinpin faili ailorukọ ati awọn ibeere HTTP. Awọn ikọlu naa lo awọn idamọ alailẹgbẹ lati tọpa olufaragba kọọkan.
Lati yago fun wiwa, awọn ikọlu naa lo awọn ilana imunadoko intricate ninu koodu wọn, pẹlu ifọwọyi aaye funfun ati awọn orukọ oniyipada ṣina. Wọn ṣe agbekalẹ awọn ọna ṣiṣe itẹramọṣẹ, awọn iforukọsilẹ eto ti a ṣe atunṣe, ati ṣiṣe awọn iṣẹ jija data kọja ọpọlọpọ awọn ohun elo sọfitiwia.
Laibikita awọn ilana imugboroja wọnyi, diẹ ninu awọn ọmọ ẹgbẹ agbegbe Top.gg ti o ṣọra ṣe akiyesi awọn iṣẹ irira wọn si royin rẹ, eyiti o yori si Cloudflare mu awọn ibugbe ti o ni ilokulo, ni ibamu si Checkmarx. Paapaa nitorinaa, Checkmarx's Kadouri tun ka irokeke naa si “lọwọ.”
Bawo ni lati Daabobo Awọn Difelopa
Awọn alamọdaju aabo IT yẹ ki o ṣe abojuto nigbagbogbo ati ṣayẹwo awọn ifunni iṣẹ akanṣe koodu tuntun ati idojukọ lori eto-ẹkọ ati imọ fun awọn idagbasoke lori awọn eewu ti awọn ikọlu pq ipese.
Kadouri sọ pe “A gbagbọ ni fifi idije si apakan ati ṣiṣẹ papọ lati jẹ ki awọn ilolupo ilolupo orisun ṣiṣi ni aabo lati awọn ikọlu,” Kadouri sọ. “Pinpin awọn orisun jẹ pataki fun nini eti lori awọn oṣere irokeke ipese-pq sọfitiwia.”
Reti awọn ikọlu ipese-pq sọfitiwia lati tẹsiwaju, ni ibamu si Kadouri. "Mo gbagbọ pe itankalẹ ti awọn ikọlu pq ipese yoo pọ si ni kikọ awọn opo gigun ti epo ati AI ati awọn awoṣe ede nla.”
Laipẹ, awọn ibi ipamọ awoṣe ikẹkọ ẹrọ gẹgẹbi Iwari Hugging ti funni ni aye awọn oṣere ewu lati fi koodu irira sinu awọn agbegbe idagbasoke, akin si awọn ibi ipamọ orisun-ìmọ npm ati PyPI.
Awọn ọran aabo pq ipese sọfitiwia miiran ti dide laipẹ, ni ipa awọn ẹya awọsanma ti JetBrains TeamCity software idagbasoke Syeed alakoso bi daradara bi awọn imudojuiwọn koodu irira yọ sinu awọn ọgọọgọrun ti awọn ibi ipamọ GitHub ni Oṣu Kẹsan.
Ati ijẹrisi alailagbara ati awọn iṣakoso iwọle gba awọn hacktivists Iran laaye lati ṣe kan kolu ipese pq ni ibẹrẹ oṣu yii lori awọn ile-ẹkọ giga Israeli nipasẹ olupese imọ-ẹrọ kan.
- SEO Agbara akoonu & PR Pinpin. Gba Imudara Loni.
- PlatoData.Network inaro Generative Ai. Fi agbara fun ara Rẹ. Wọle si Nibi.
- PlatoAiStream. Web3 oye. Imo Amugbadun. Wọle si Nibi.
- PlatoESG. Erogba, CleanTech, Agbara, Ayika, Oorun, Isakoso Egbin. Wọle si Nibi.
- PlatoHealth. Imọ-ẹrọ Imọ-ẹrọ ati Awọn Idanwo Ile-iwosan. Wọle si Nibi.
- Orisun: https://www.darkreading.com/application-security/github-developers-hit-in-complex-supply-chain-cyberattack
