هزاران مخزن GitHub مورد حمله گسترده قرار گرفتند - 4800 حساب در حال حاضر برای سرقت اعتبار ابری در معرض خطر قرار گرفته اند.

عوامل تهدید از 4837 حساب GitHub در معرض خطر برای باز کردن درخواست‌های کشش در 61764 مخزن استفاده کردند.

حداقل 1835 مخزن محموله را اجرا کردند و اعتبار آنها استخراج شد

نشانه‌های احراز هویت، اعتبارنامه‌های AWS، Azure و Google Cloud و موارد دیگر، هدف‌مند اخیرا دیده شده است که مجرمان سایبری از چندین ویژگی GitHub برای استقرار دزدهای اطلاعاتی و استخراج اعتبارنامه ورود به سیستم ابری کاربران و سایر اسرار سوء استفاده می کنند.

محققین امنیت سایبری آیکیدو در گزارشی که اخیرا نشان می‌دهد چگونه مهاجمان از اعتبارنامه‌های دزدیده شده GitHub برای سوء استفاده از فعالیت‌ها و گردش‌های کاری GitHub استفاده می‌کنند، می‌گویند که تاکنون ده‌ها هزار مخزن مورد هدف قرار گرفته‌اند و تقریبا 2000 مورد قربانی این حمله شده‌اند.

GitHub پلتفرمی برای توسعه دهندگانی است که روی پروژه های متن باز کار می کنند. هر پروژه "مخزن" خود را دارد - یک پوشه حاوی کد منبع، فایل های پیکربندی و منابع دیگر. توسعه‌دهندگان می‌توانند از طریق فرآیندی به نام «درخواست کشش» تغییراتی را به مخازن عمومی پیشنهاد دهند، پس از آن سایر توسعه‌دهندگان می‌توانند تغییرات را بررسی و تأیید یا رد کنند.

GitHub همچنین دارای یک سرویس اتوماسیون به نام Actions است که به توسعه دهندگان اجازه می دهد تا به طور خودکار وظایف مختلف از جمله درخواست های کششی را اجرا کنند. این فرآیندهای خودکار، گردش کار نامیده می شوند و می توان آنها را به عنوان مجموعه ای از دستورالعمل ها توصیف کرد که به GitHub می گوید چه کاری انجام دهد. در اینجا یک قطعه حیاتی دیگر از اطلاعات وجود دارد: گردش کارها می توانند در صورت نیاز برای انجام این وظایف به اعتبارنامه های حساس دسترسی پیدا کنند.

استفاده از حساب های در معرض خطر

طبق گفته Aikido، عوامل تهدید از 4837 حساب GitHub در معرض خطر برای باز کردن درخواست‌های کشش در 61764 مخزن استفاده کردند. محققان نگفتند مهاجمان چگونه به این حساب‌ها دست یافته‌اند یا چگونه به خطر افتاده‌اند. درخواست‌های کشش، کاوشگر بودند، نه حملات واقعی، و استفاده می‌شدند تا مهاجمان بتوانند ببینند کدام پروژه‌ها را می‌توانند اصلاح کنند.

آیکیدو گفت: «ما این کمپین را به‌عنوان wfx-loot بر اساس نام عامل تهدید برای بدافزار و اصطلاحی که برای اسرار دزدیده شده استفاده می‌شود، ردیابی می‌کنیم. درخواست‌های کششی با عنوان اسناد: یادداشت‌های حسابرسی وابستگی بودند و از شعبه‌هایی به نام wfx-docs ارسال شدند.

از بیش از 60000 درخواست کشش منطبق، بیش از 10000 مخزن هدفمند که حساب‌های در معرض خطر مالکیت آنها را نداشتند، اما می‌توانستند به آنها دسترسی داشته باشند. پس از ایجاد دسترسی نوشتن، مهاجمان از یکی از سه روش برای استقرار یک اسکریپت مخرب استفاده کردند: اصلاح گردش‌های کاری GitHub Actions موجود، افزودن یک اسکریپت پوسته که توسط یک قلاب نصب npm راه‌اندازی می‌شود، یا ایجاد یک فایل گردش کار جدید در یک شاخه موقت.

محموله شامل تقریبا 1500 خط کد بود که در هر سه سناریو وجود داشت. این کد محیط‌های در معرض خطر را برای اطلاعات حساسی مانند اسرار GitHub Actions، توکن‌های احراز هویت، اعتبارنامه‌های AWS، Azure و Google Cloud، فایل‌های پیکربندی Docker و Kubernetes، کلیدهای SSH، کلیدهای API برای سرویس‌های هوش مصنوعی مانند OpenAI و Anthropic و تاریخچه پوسته توسعه‌دهندگان جستجو می‌کرد. همچنین فایل‌های env، کلیدهای خصوصی و اعتبارنامه‌های متعلق به ابزارهایی مانند npm، PyPI، HashiCorp Vault و Terraform را جستجو کرد.

سرقت مدارک

این بدافزار همچنین سعی کرد دسترسی خود را گسترش دهد، توکن های دزدیده شده را با جلسات ابری مبادله کند، حساب های سرویس را جعل کند و حتی اعتبارنامه های جدیدی ایجاد کند. همچنین پیکربندی‌های AWS و Azure را برای حفظ دسترسی زمانی که قربانیان اعتبارنامه‌های به خطر افتاده خود را می‌چرخانند، اصلاح کرد.

آیکیدو می گوید که حداقل 1835 مخزن محموله را اجرا کرده اند و اعتبار آنها استخراج شده است. مهاجمان متعاقبا تغییرات خود را برگرداندند و گزارش‌های اجرای گردش کار را حذف کردند، گاهی اوقات در عرض یک دقیقه، تا مسیرهای خود را پوشش دهند و تشخیص را بسیار سخت‌تر کنند.

کمپین wfx-look ظاهرا به زنجیره تأمین نرم‌افزار سرازیر شد، زیرا Aikido همچنین بسته‌های PHP در معرض خطر را در Packagist و دو نسخه ماژول Go تحت تأثیر قرار گرفت. با این حال، محققان گفتند که این ممکن است یک اثر جانبی سوء استفاده مهاجمان از فرآیندهای انتشار خودکار باشد، نه چیزی که قصد انجام آن را داشتند.

آیکیدو به هر کسی که مخزنش بار مخرب را اجرا کرده است توصیه می‌کند که تمامی اسرار و اعتبارنامه‌های ابری خود را در نظر بگیرند که گردش‌های کاری آن‌ها می‌توانند به آنها دسترسی داشته باشند و به چرخش فوری نیاز دارند.

از طریق Bleeping Computer