JFrog-ը testmetest վնասաբեր ծրագիր է հայտնաբերել GitHub-ի 42 պահոցում

Ծրագրային ապահովման մատակարարման շղթայի անվտանգության JFrog ընկերությունը հայտնել է, որ testmetest որդը վնասաբեր կոդ է տեղադրել GitHub-ի 42 իրական պահոցում՝ նախագծերի կոդի առցանց շտեմարաններում, որոնք պատկանում են 11 սեփականատիրոջ։ Հոկտեմբերի 26-ին հրապարակված հետազոտության մանրամասները ներկայացված են The Register-ում։ Հետազոտությամբ հայտնաբերվել են փորձառու մշակողների և կազմակերպությունների տուժած հաշիվներ, որոնցից մի քանիսը զավթվել էին դեռ հուլիսին։

Ավելի վաղ հետազոտությունը ցույց էր տվել ավելի սահմանափակ պատկեր։ Արշավն առաջինը նկատած SafeDep ընկերությունը, որը զբաղվում է ծրագրային ապահովման մատակարարման շղթայի անվտանգությամբ, հայտնել էր, որ հոկտեմբերի 22-ի դրությամբ չի հայտնաբերել երրորդ կողմերի վարակված փաթեթներ կամ տուժածներ։ Իր դիտարկած ողջ գործունեությունը կապված էր արշավն իրականացնողի սեփական փորձնական հաշիվների հետ։ JFrog-ի ուսումնասիրությունը վնասաբեր կոդ է հայտնաբերել նաև այլ մշակողների պահոցներում, ոչ միայն արշավն իրականացնողի փորձարկումներում։

Կոդ գործարկող հրահանգներ, թաքնված կոդ և մուտքի տվյալների գողություն

JFrog-ի խոսքով՝ հարձակվողները գերբանականությամբ (ԳԲ) աշխատող ծրագրավորման օգնականների և մշակման այլ գործիքների համար տեղադրել են գործարկման հրահանգներ, որոնք ստիպում են այդ գործիքներին կոդ գործարկել։ Դրանց կողքին եղել են 12,9–13,7 MB ծավալով ֆայլեր, որոնք վերծանում էին ծրագրային ապահովման ավտոմատացված հրապարակման համար նախատեսված թաքնված կոդը։ Հետազոտողների խոսքով՝ այդ ֆայլերն այնքան մեծ էին, որ դուրս էին մնում նման վարակումներ հայտնաբերելու համար սովորաբար օգտագործվող GitHub-ի որոնման գործիքների և ծրագրային միջերեսների տեսադաշտից։

Վնասաբեր ծրագիրն օգտագործում է նաև կոմպիլացված ծրագրային բաղադրիչ՝ առանձին վնասաբեր կոդը վերծանելու և գործարկելու համար։ Մինչ գործարկումը բեռնիչը ստուգում է՝ արդյոք առկա են ծրագրերի ավտոմատացված հավաքման համակարգեր, մեկուսացված փորձարկման միջավայրեր և վրիպազերծման գործիքներ։ Դրանք հայտնաբերելիս այն լուռ դադարեցնում է աշխատանքը՝ նվազեցնելով հավանականությունը, որ անվտանգության ստուգման գործիքը կդիտարկի իր վարքագիծը, հայտնել են հետազոտողները։