4,837 חשבונות GitHub שנפרצו שימשו להרצת גנב סודות ב-CI בלפחות 1,806 מאגרים

קמפיין חדש משתמש באישורים גנובים של 4,837 חשבונות GitHub כדי להחדיר גנב סודות לצנרת ה-CI. לפי החוקרים הוא רץ בלפחות 1,806 מאגרים, ולכן כל מי ששומר סודות ב-GitHub Actions צריך לבדוק אם נפגע.

הפרטים

לפי Aikido Security ו-SafeDep, התוקף פתח תחילה בקשות pull request בדיקה בשם "docs: dependency audit notes" מענף wfx-docs ב-61,764 מאגרים, כדי לבדוק הרשאת כתיבה. אחר כך הוסיף קומיטים זדוניים. SafeDep ספרה 8,093 מאגרים עם קומיטים זדוניים בענפי ברירת מחדל ציבוריים; המספר האמיתי כנראה גבוה יותר.

הנוזקה אוספת סודות ומשתני Actions, טוקני GITHUB_TOKEN ו-OIDC, מפתחות AI וקובצי אישורים של ספקי ענן, ומוציאה אותם ב-HTTP POST או לצ'אט בטלגרם. היא גם מחליפה טוקני OIDC בהפעלות בענן ויכולה ליצור מפתחות AWS IAM ארוכי טווח ולהוסיף אישורי federation ב-Azure AD ששורדים החלפת טוקנים. Aikido מציינת שאינה מייחסת את הקמפיין לאותו שחקן של גל GhostAction מאוקטובר, אך חשבונות שנפגעו אז היו בסבירות גבוהה בהרבה להיפגע גם כאן.

נקודות לשים לב

חפש בהיסטוריית הענפים והקומיטים: ענפים wfx-docs ו-ci-check-NNNN, וקומיטים כמו "ci: refresh build cache" או "chore: add dependency audit workflow". לפי SafeDep, קומיט של התוקף בלי run number הוא סימן מהימן יותר להרצת הנוזקה, כי לוגים נמחקים.
אם נמצא קומיט חשוד: בטל טוקנים, OAuth, מפתחות SSH וסשנים של מחבר הקומיט, הפעל 2FA, והחלף כל סוד שהמאגר יכול היה לקרוא.
חפש ב-Entra ID אישורי federation עם הקידומת wfx-ci-, וב-CloudTrail סשנים של wfx-* שאחריהם CreateAccessKey או UpdateAssumeRolePolicy.
מכונה שהריצה npm install על קומיט מושפע נחשבת חשופה — החלף את המפתחות שעליה.
החבילה digitalelvis/neuronai-studio בגרסה 3.14.3 זדונית; הגרסה האחרונה שדווחה כבטוחה היא 3.14.2.