Через 4837 скомпрометированных аккаунтов GitHub внедрили похититель секретов

Злоумышленник использовал украденные учётные данные для проверки доступа к более чем 61 тыс. репозиториев и последующего запуска вредоносного скрипта. Aikido Security зафиксировала его выполнение как минимум в 1,8 тыс. проектов, а SafeDep обнаружила вредоносные коммиты в 8093 публичных репозиториях.

Компания по информационной безопасности Aikido Security обнаружила кампанию wfx-loot, начавшуюся 10 ноября. Злоумышленник использовал учётные данные 4837 скомпрометированных аккаунтов GitHub и открывал тестовые запросы на слияние с заголовком «docs: dependency audit notes», чтобы проверить возможность записи в репозитории.

После успешной проверки атакующий добавлял похититель секретов в процессы GitHub Actions — систему непрерывной интеграции и доставки кода — либо в сценарий postinstall менеджера пакетов npm. Исследование SafeDep выявило вредоносные коммиты в 8093 репозиториях: в 7309 случаях код внедрялся в существующие процессы GitHub Actions, ещё в 771 случае он запускался при выполнении npm install, в том числе на компьютерах разработчиков.

Скрипт собирал секреты и переменные GitHub Actions, токены GITHUB_TOKEN и OpenID Connect (OIDC), ключи сервисов искусственного интеллекта, конфигурации AWS, Microsoft Azure, Google Cloud, Kubernetes, npm, PyPI и SSH. Он также копировал содержимое репозитория, историю коммитов и артефакты сборки, а на собственных CI-серверах компаний пытался извлекать облачные учётные данные и сведения о контейнерах.

Вредоносный код мог создавать постоянные ключи AWS, менять политики доверия облачных ролей и добавлять федеративные учётные данные Azure, сохраняющие доступ после обычной смены секретов. Злоумышленник обычно откатывал изменения и удалял журналы выполнения, поэтому владельцам затронутых репозиториев рекомендуют отозвать токены и сеансы скомпрометированных аккаунтов, заменить доступные процессам секреты и проверить облачную инфраструктуру на созданные бэкдоры.