Атака на GitHub торкнулася 61 тисячі репозиторіїв

Дослідники Aikido виявили кампанію з викрадення хмарних облікових даних через скомпрометовані акаунти GitHub та автоматизовані робочі процеси платформи. За даними TechRadar, зловмисники використали 4837 скомпрометованих облікових записів, щоб відкрити pull request у 61 764 репозиторіях.

Щонайменше у 1835 репозиторіях було виконано шкідливий код, після чого з них вивели облікові дані. Дослідники відстежують кампанію під назвою wfx-loot — за назвою шкідливого програмного забезпечення та терміном, яким позначали викрадені секрети.

Як діяли зловмисники

Pull request із заголовком docs: dependency audit notes надсилали з гілок із назвою wfx-docs. Вони слугували перевіркою того, до яких проєктів атакувальники можуть вносити зміни. Понад 10 тисяч таких запитів були спрямовані до репозиторіїв, якими скомпрометовані акаунти не володіли, але мали до них доступ.

Після встановлення доступу на запис зловмисники застосовували один із трьох способів розгортання скрипту: змінювали наявні workflows GitHub Actions, додавали shell-скрипт, що запускався через хук встановлення npm, або створювали файл нового workflow у тимчасовій гілці.

Які дані шукало шкідливе ПЗ

Шкідливий код обсягом близько 1500 рядків шукав secrets GitHub Actions, токени автентифікації, облікові дані AWS, Azure та Google Cloud, конфігурації Docker і Kubernetes, SSH-ключі, API-ключі OpenAI та Anthropic, історію командних оболонок, файли .env і приватні ключі. Також його цікавили дані доступу до npm, PyPI, HashiCorp Vault і Terraform.

За інформацією Aikido, програма намагалася розширити доступ: обмінювала викрадені токени на хмарні сесії, підробляла сервісні акаунти та створювала нові облікові дані. Вона також змінювала конфігурації AWS і Azure для збереження доступу після зміни скомпрометованих даних. Після виконання шкідливого коду атакувальники повертали внесені зміни та видаляли журнали запуску workflows, інколи менш ніж за хвилину.

Aikido рекомендує власникам репозиторіїв, де виконувався цей код, вважати всі секрети й хмарні облікові дані, доступні для workflows, скомпрометованими та терміново їх замінити.