Gheist kampány
A Wiz Research elemzése szerint a Gheist nevű, szeptember 15. óta megfigyelt támadási kampány több mint 850 kompromittált GitHub-fiókot használt fel. A kutatók több mint 13 500 rosszindulatú fejlesztési ágat azonosítottak személyes projektekben és vállalati adattárakban.
A támadók ellopott GitHub-hozzáférési tokenekkel új ágakat hoztak létre, majd sync-check.yml néven rosszindulatú GitHub Actions-munkafolyamatot helyeztek el bennük. A program a futtatási naplóba írta a környezeti változókat és a tárolt titkokat, például API-kulcsokat és felhőszolgáltatási hitelesítő adatokat.
Az adatokat Base32-kódolással rejtették el a GitHub naplóinak automatikus titokmaszkolása elől. Ezután a naplókat a GitHub saját API-ján keresztül letöltötték, a futtatásokat pedig gyorsan törölték. Így nem volt szükség külön támadói vezérlőszerverre.
A GitHub július 28-án bevezetett védelme a nyilvános adattárakban sikeresen megakadályozta a vizsgált rosszindulatú munkafolyamatok futtatását. A privát adattárakban és vállalati GitHub-környezetekben azonban a Wiz sikeres végrehajtásokat, valamint AWS-felhőhitelesítő adatok későbbi felhasználását is észlelte.
Október 19-től a támadók saját üzemeltetésű GitHub-futtatókra is kiterjesztették a műveletet. Az új modul privát kulcsokat, felhőszolgáltatási tokeneket, konténer- és Kubernetes-hitelesítő adatokat próbált összegyűjteni, bár a kutatók több programhibát is találtak benne.
A Wiz szerint a kompromittált tokenek egy része korábbi adatlopó kártevőkből és szoftverellátási láncot érintő incidensekből származhatott.
A védekezéshez a ci-sync- kezdetű ágak és a sync-check.yml fájl keresését, az érintett tokenek és titkok visszavonását, valamint a rövid élettartamú jogosultságok és a szigorúbb GitHub Actions-engedélyezés alkalmazását javasolják.
