Sulmuesi përdor 4.837 llogari të rrëmbyera në GitHub për të vjedhur sekretet e CI-së në mbi 1.800 depo kodi

Një sulm i gjerë kibernetik ka vënë në shënjestër GitHub-in këtë javë, ku një sulmues përdori kredencialet e vjedhura të 4.837 llogarive për të mbjellë një program vjedhës sekretash në depo kodi ku ato llogari kishin të drejtë shkrimi, siç njofton The Hacker News, duke cituar analizën e Aikido Security. Programi u ekzekutua në të paktën 1.806 depo, ku sulmuesi ka mbledhur me gjasa sekretet dhe kredencialet cloud që workflow-t e integrimit të vazhdueshëm (CI) mund të arrijnë.

Çdo sulm niste me një pull request testues me titullin “docs: dependency audit notes”, nga dega wfx-docs. Pull request-e të tilla u hapën në 61.764 depo, ndërsa një analizë e veçantë e SafeDep numëroi 8.093 depo që morën commit-e keqdashëse nga ora 12:46 UTC e së martës deri në 04:36 UTC të së enjtes. Numërimi mbulon vetëm degët kryesore të depove publike, ndaj totali real besohet të jetë më i lartë, dhe pull request-e të reja me të njëjtin titull u hapën edhe herët sot, mes 05:04 dhe 05:38 UTC.

Në 7.309 depo programi iu shtua një workflow ekzistues, ndërsa në 771 të tjera erdhi si hook postinstall i npm-së. Programi mbledh sekretet e GitHub Actions, token-in GITHUB_TOKEN, si edhe kredenciale për AWS, Azure, GCP, Kubernetes, npm, PyPI dhe SSH. Ai mund të krijojë gjithashtu çelësa afatgjatë aksesi në AWS dhe të shtojë kredenciale federative në Azure me prefiksin wfx-ci-.

Sulmi arriti edhe jashtë GitHub-it: paketa Packagist digitalelvis/neuronai-studio, versioni 3.14.3, duhet të trajtohet si e komprometuar — përdoruesit këshillohen të përdorin versionin 3.14.2 ose më të hershëm — ndërsa 28 depo të WebdriverIO u prekën përmes llogarisë bot wdio-bot. Llogaritë e përdorura këtë javë mbivendosen me valën GhostAction të tetorit, por Aikido thotë se ende nuk e atribuon sulmin e nëntorit te i njëjti aktor.

Studiuesit paralajmërojnë se çdo llogari që hapi një pull request testues duhet të konsiderohet e komprometuar: token-at, grant-et OAuth, çelësat SSH dhe sesionet duhen revokuar, çdo sekret që depoja mund të lexojë duhet të rrotullohet dhe duhet aktivizuar vërtetimi me dy faktorë. Gjithashtu, makineritë ku u ekzekutua npm install mbi commit-e të prekura duhen trajtuar si të komprometuara.