GitHub долбоорлорго, анын ичинде криптого таасир этүүчү кеңири таралган зыяндуу программалык чабуулдарга туш болот

Негизги иштеп чыгуучу платформа GitHub кеңири таралган кесепеттүү программалык чабуулга туш болуп, бир күндө 35,000 XNUMX "код соккулары" жөнүндө кабарлады, анда миллиондогон долларларга Solana негизиндеги миңдеген капчыктар төгүлгөн.

Кеңири жайылган чабуулду GitHub иштеп чыгуучусу Стивен Люси баса белгиледи, ал окуя тууралуу шаршемби күнү биринчи жолу кабарлады. Иштеп чыгуучу бул маселеге Google издөөсүндө табылган долбоорду карап жатып чыккан.

Мен кесепеттүү программанын кеңири жайылган чабуулун ачып жатам @github.
– Учурда 35 миңден ашык репозиторийлер инфекцияга чалдыккан
– Азырынча долбоорлордо табылган: крипто, голанг, питон, js, bash, докер, k8s
– Ал npm скрипттерине, докер сүрөттөрүнө жана документтерди орнотууга кошулат pic.twitter.com/rq3CBDw3r9
— Стивен Лэйси (@stephenlacy) August 3, 2022

Буга чейин ар кандай долбоорлор - крипто, Голанг, Python, JavaScript, Bash, Docker жана Kubernetes - чабуулдан жабыр тартканы аныкталган. Кесепеттүү программалык чабуул докердин сүрөттөрүнө, орнотулган документтерге жана NPM скриптине багытталган, бул долбоор үчүн жалпы кабык буйруктарын топтоонун ыңгайлуу жолу.

Иштеп чыгуучуларды алдоо жана маанилүү маалыматтарга жетүү үчүн чабуулчу адегенде жасалма репозиторий түзөт (репозиторийде долбоордун бардык файлдары жана ар бир файлдын кайра кароо тарыхы бар) жана мыйзамдуу долбоорлордун клондорун GitHub'ка түртөт. Мисалы, төмөнкү эки снапшот бул мыйзамдуу крипто шахтер долбоорун жана анын клонун көрсөтөт.

*Оригиналдуу крипто казып алуу долбоору. Булак: Github*

*Клондолгон крипто казып алуу долбоору. Булак: Github*

Бул клондук репозиторийлердин көбү "тартуу өтүнүчтөрү" катары түртүлгөн, бул иштеп чыгуучуларга GitHub репозиторийиндеги бутагына түрткөн өзгөртүүлөр жөнүндө башкаларга айтып берүүгө мүмкүндүк берет.

байланыштуу: Кабарларга караганда, Nomad 190 миллион долларлык эксплуатацияга алып келген коопсуздуктун начардыгына көңүл бурган

Иштеп чыгуучу кесепеттүү программалык чабуулдун курмандыгы болгондон кийин, скрипттин, тиркеменин же ноутбуктун (Электрондук колдонмолор) айлана-чөйрөнүн өзгөрмөлөрү (ENV) чабуулчунун серверине жөнөтүлөт. ENV коопсуздук ачкычтарын, Amazon Web Services кирүү ачкычтарын, крипто ачкычтарын жана башка көптөгөн нерселерди камтыйт.

Иштеп чыгуучу бул маселени GitHubга кабарлады жана иштеп чыгуучуларга репозиторийге жасалган оңдоолоруна GPG кол коюуну сунуштады. GPG ачкычтары GitHub эсептерине жана программалык долбоорлоруна кошумча коопсуздук катмарын кошуп, бардык оңдоолордун ишенимдүү булактан алынгандыгын текшерүү жолун камсыз кылат.