Хакеры использовали почти 4,8 тысячи взломанных аккаунтов GitHub для кражи паролей, токенов и ключей доступа к облачным сервисам. Атака затронула десятки тысяч репозиториев, а как минимум в 1800 случаях вредоносный код удалось запустить.
Хакеры использовали почти 4,8 тысячи взломанных аккаунтов GitHub для кражи паролей, токенов и ключей доступа к облачным сервисам. Атака затронула десятки тысяч репозиториев, а как минимум в 1800 случаях вредоносный код удалось запустить.
Кампанию под названием wfx-loot обнаружили исследователи компании Aikido Security. По их данным, атака началась 10 ноября. Злоумышленники использовали украденные учетные данные 4837 аккаунтов GitHub, чтобы проверить возможность изменения кода в 61 764 репозиториях.
Для этого они создавали pull request под названием «docs: dependency audit notes», маскируя проверку доступа под заметки об аудите зависимостей. Если у взломанного аккаунта были необходимые права, хакеры добавляли вредоносный скрипт в GitHub Actions — систему автоматической сборки, тестирования и развертывания программ.
Скрипт объемом около 1500 строк собирал секреты GitHub Actions, ключи доступа к AWS, Microsoft Azure и Google Cloud, а также учетные данные Docker, Kubernetes, npm, PyPI и других инструментов разработчиков. Под угрозой оказались и ключи доступа к ИИ-сервисам, включая OpenAI, Claude, Gemini, Hugging Face, Cursor и GitHub Copilot.
Вредоносная программа также могла использовать украденные данные для получения дополнительных прав в облачной инфраструктуре и создания долговременного доступа, который сохранялся бы даже после смены некоторых паролей.
Чтобы скрыть следы, злоумышленники быстро отменяли изменения в коде и удаляли историю выполнения GitHub Actions. По наблюдениям Aikido, обычно на это уходило не больше минуты.
Среди скомпрометированных аккаунтов исследователи обнаружили учетные записи, связанные с крупными американскими корпорациями, государственными структурами США и Франции, а также проектами Nextcloud и WebdriverIO.
По данным Aikido, вредоносный код запустился не менее чем в 1800 репозиториях. При этом большая часть проверочных pull request оставалась открытой, что может говорить о том, что владельцы еще не заметили подозрительную активность.
Исследователи рекомендуют проверить репозитории на наличие ветки wfx-docs и pull request docs: dependency audit notes. Если вредоносный код запускался, все доступные ему ключи и токены следует считать скомпрометированными и заменить. Также необходимо проверить настройки доступа к облачным ресурсам.
Специалисты обнаружили сходство с другой кампанией против GitHub — GhostAction, которая проходила в октябре. Однако в Aikido предполагают, что за атаками стоят разные злоумышленники.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.