هکرها 4800 حساب GitHub را به خطر می اندازند تا اعتبار ابر را به سرقت ببرند

ده‌ها هزار مخزن GitHub در کمپینی به نام «wfx-loot» هدف قرار گرفتند که از جریان‌های کاری مخرب برای سرقت اسرار GitHub Actions و اعتبارنامه‌های ابری استفاده می‌کند.

اگرچه همه مخازن محموله را اجرا نمی کردند، اما محققان تأیید کردند که عامل تهدید اسرار حداقل 1835 هدف را به سرقت برده است.

عامل تهدید از هزاران حساب در معرض خطر GitHub برای باز کردن درخواست‌های کشش در برابر مخازنی که آن حساب‌ها می‌توانند به آن دسترسی داشته باشند استفاده کرد و آزمایش کرد که آیا آنها مجوزهای نوشتن کافی برای تزریق کد مخرب دارند یا خیر.

برخی از حساب های در معرض خطر متعلق به سازمان های Fortune 100، اداره خدمات عمومی ایالات متحده، دولت فرانسه، Nextcloud و WebdriverIO بودند.

به گفته محققان شرکت امنیت اپلیکیشن Aikido، به نظر می رسد حدود 50 نفر از آنها دارای حقوق انتشار در سایر اکوسیستم های نرم افزار منبع باز و فهرست بسته ها مانند npm، PyPI، Go، crates و Packagist هستند.

آیکیدو می‌گوید که کمپین wfx-loot حدود ساعت 12:45 UTC در 10 نوامبر آغاز شد، زمانی که مهاجم از اعتبارنامه‌های GitHub سرقت شده از 4837 حساب در معرض خطر برای بررسی 61764 مخزن برای دسترسی نوشتن استفاده کرد.

بازیگر تهدید، درخواست‌های کششی را با عنوان «اسناد: یادداشت‌های حسابرسی وابستگی» که به عنوان یادداشت‌های حسابرسی وابستگی پنهان شده بودند، باز کرد.

آیکیدو گزارش می‌دهد که از این درخواست‌های کشش، 92 درصد باز باقی می‌ماند که نشان می‌دهد صاحبان مخزن قانونی متوجه این فعالیت نشده‌اند.

سپس یک اسکریپت پوسته سرقت اعتبار 1500 خطی را با اصلاح یک گردش کاری GitHub Actions موجود، اضافه کردن یک گردش کار جدید در یک شاخه کوتاه مدت، یا کاشت یک قلاب نصب npm ارائه کردند.

اسکریپت سعی می کند داده های زیر را جمع آوری کند:

این اسکریپت همچنین از افزایش امتیازات ابری با تبادل توکن های GitHub OIDC برای جلسات موقت ابری AWS، Azure و GCP پشتیبانی می کند.

در AWS، می‌تواند به نقش‌های اضافی IAM (مدیریت هویت و دسترسی) موجود در مخزن زنجیره بزند تا اعتبارنامه‌های طولانی مدت برای کاربران IAM ایجاد کند. همچنین از اعتبارنامه های حساب سرویس جمع آوری شده برای جعل هویت در GCP استفاده می کند.

آیکیدو خاطرنشان می‌کند که قابلیت‌ها شامل ایجاد دسترسی دائمی با ایجاد اعتبارنامه‌های طولانی مدت یا اصلاح هویت ابری و سیاست‌های اعتماد در جایی که مجوزها اجازه می‌دهند، است.

این اسکریپت داده‌های جمع‌آوری‌شده را به شکل تاربال فشرده می‌کرد و آن‌ها را از طریق HTTP POST به یکی از دو نقطه پایانی کنترل‌شده توسط مهاجم استخراج می‌کرد.

در مرحله آخر، مهاجم به سرعت تغییرات خود را برگرداند و اجراهای گردش کار و گزارش‌ها را حذف کرد. آیکیدو می گوید این کار در کمتر از یک دقیقه کامل شد.

انتشار خودکار محموله را به Packagist's digitalelvis/neuronai-studio 3.14.3 و دو نسخه از ماژول Go github.com/onuragtas/docker-env، v1.0.278 و v1.0.280 منتقل کرد.

محققان بر این باورند که هدف اصلی عامل تهدید سرقت اسرار CI بود، در حالی که انتشار بسته محصول فرعی انتشار خودکار بود.

محققان همچنین همپوشانی های خاصی با کمپین GhostAction 2025 پیدا کردند.

به صاحبان مخزن توصیه می شود که به دنبال شاخه «wfx-docs»، درخواست کشش پروب و شکاف در اعداد اجرای گردش کار باشند.

در جایی که اجرای محموله تایید می‌شود، تمام اسرار و نقش‌های ابری موجود برای گردش‌های کاری آسیب‌دیده باید به خطر افتاده و فورا چرخانده شوند.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

هکرها از دسترسی مطمئن AWS برای نفوذ به چندین محیط ابری سوء استفاده می کنند

کمپین بدافزار Hugging Face برای ربودن پردازنده‌های گرافیکی برای استخراج کریپتو بازمی‌گردد

راه آهن به توسعه دهندگان هشدار می دهد که اسرار را پس از نقض احتمالی بچرخانند

OVHcloud CLI به صورت پشتی در GitHub منتشر می شود تا اسرار توسعه دهندگان را بدزدد

بیش از 543000 اعتبار معتبر در مخازن عمومی GitHub افشا شده است