Хакеры выкарысталі амаль 4,8 тысячы ўзламаных акаўнтаў GitHub для крадзяжу пароляў, токенаў і ключоў доступу да воблачных сервісаў. Атака закранула дзесяткі тысяч рэпазіторыяў, а як мінімум у 1800 выпадках шкодны код удалося запусціць.
Хакеры выкарысталі амаль 4,8 тысячы ўзламаных акаўнтаў GitHub для крадзяжу пароляў, токенаў і ключоў доступу да воблачных сервісаў. Атака закранула дзесяткі тысяч рэпазіторыяў, а як мінімум у 1800 выпадках шкодны код удалося запусціць.
Кампанію пад назвай wfx-loot выявілі даследчыкі кампаніі Aikido Security. Паводле іх дадзеных, атака пачалася 10 лістапада. Зламыснікі выкарысталі скрадзеныя ўліковыя дадзеныя 4837 акаўнтаў GitHub, каб праверыць магчымасць змянення кода ў 61 764 рэпазіторыях.
Для гэтага яны стваралі pull request пад назвай «docs: dependency audit notes», маскіруючы праверку доступу пад нататкі пра аўдыт залежнасцяў. Калі ва ўзламаным акаўнце былі неабходныя правы, хакеры дадавалі шкодны скрыпт у GitHub Actions — сістэму аўтаматычнай зборкі, тэсціравання і разгортвання праграм.
Скрыпт аб’ёмам каля 1500 радкоў збіраў сакрэты GitHub Actions, ключы доступу да AWS, Microsoft Azure і Google Cloud, а таксама ўліковыя дадзеныя Docker, Kubernetes, npm, PyPI ды іншых інструментаў распрацоўшчыкаў. Пад пагрозай апынуліся і ключы доступу да ШІ-сервісаў, у тым OpenAI, Claude, Gemini, Hugging Face, Cursor і GitHub Copilot.
Шкоднасная праграма таксама магла выкарыстоўваць скрадзеныя дадзеныя для атрымання дадатковых правоў у воблачнай інфраструктуры і стварэння доўгатэрміновага доступу, які захоўваўся б нават пасля змены некаторых пароляў.
Каб схаваць сляды, зламыснікі хутка адмянялі змены ў кодзе і выдалялі гісторыю выканання GitHub Actions. Паводле назіранняў Aikido, звычайна на гэта сыходзіла не больш за хвіліну.
Сярод скампраметаваных акаўнтаў даследчыкі выявілі ўліковыя запісы, звязаныя з буйнымі амерыканскімі карпарацыямі, дзяржаўнымі структурамі ЗША і Францыі, а таксама праектамі Nextcloud і WebdriverIO.
Паводле дадзеных Aikido, шкоднасны код запусціўся не менш чым у 1800 рэпазіторыях. Пры гэтым большая частка праверачных pull request заставалася адкрытай, што можа сведчыць пра тое, што ўладальнікі яшчэ не заўважылі падазроную актыўнасць.
Даследчыкі рэкамендуюць праверыць рэпазіторыі на наяўнасць веткі wfx-docs і pull request docs: dependency audit notes. Калі шкодны код запускаўся, усе даступныя яму ключы і токены варта лічыць скампраметаванымі і замяніць. Таксама неабходна праверыць налады доступу да воблачных рэсурсаў.
Спецыялісты выявілі падабенства з іншай кампаніяй супраць GitHub — GhostAction, якая праходзіла ў кастрычніку. Аднак у Aikido мяркуюць, што за атакамі стаяць розныя зламыснікі.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.