Злоумышленники получили доступ к большому числу учетных записей.
Злоумышленники получили доступ к 4837 аккаунтам GitHub и внедрили в репозитории вредоносный код, который ворует секреты и облачные ключи из процессов непрерывной интеграции (CI), пишет The Hacker News. Программа-стилер сработала минимум в 1806 репозиториях.
Атака началась во вторник, 10 ноября, сообщили в компании Aikido Security. Хакеры использовали украденные пароли и могли вносить изменения в проекты от имени взломанных пользователей. Как именно они получили учетные данные, пока неизвестно.
Сначала злоумышленники отправляли тестовый запрос на изменение кода с заголовком docs: dependency audit notes из ветки wfx-docs. Такие запросы открыли в 61 764 репозиториях, чтобы проверить, есть ли у аккаунта права на запись. В 7309 проектах вредонос встроили в существующий сценарий автоматизации GitHub Actions, еще в 771 — в виде npm-хука, который запускается на компьютере разработчика при установке пакетов.
По оценке SafeDep, всего вредоносные коммиты получили 8093 репозитория. После отправки кода хакеры обычно откатывали изменения и удаляли логи. Владельцам затронутых проектов советуют отозвать токены и SSH-ключи, включить двухфакторную аутентификацию и заменить все секреты.
Стилер собирает токены GitHub Actions, ключи доступа к облакам AWS, Azure и GCP, а также пароли от npm, PyPI и SSH. Он копирует сам репозиторий, последние 100 коммитов и артефакты сборки, а на собственных серверах забирает ключи из облачных метаданных. Данные уходили на серверы злоумышленников и в Telegram.
Источник: hi-tech.mail.ru