GitHub'da ele geçirilen hesaplar sır topladı

Saldırgan, ele geçirdiği 4837 GitHub hesabının yazma yetkisi olduğu depolara sır çalan bir betik yerleştirdi. Aikido Security'ye göre betik en az 1806 depoda çalıştı. SafeDep'in analizi ise çok daha yüksek bir rakam verdi: 8093 depo.

SafeDep'in sayısı, çalışma fırsatı bulamayanlar da dahil, kötü amaçlı commit alan tüm depoları kapsıyor. Tarama yalnızca herkese açık projelerin ana dallarına baktığı için gerçek sayı daha yüksek olabilir. Değişiklikler, salı günü 12.46 UTC ile 12 Kasım 04.36 UTC arasında yapıldı.

GitHub hesapları nasıl kullanıldı

Her şey, wfx-docs dalından açılan ve başlığı «docs: dependency audit notes» olan bir deneme pull request'iyle başlıyordu. Saldırgan böylece ele geçirilmiş hesabın depo içeriğini değiştirip değiştiremediğini sınıyordu. Bu tür istekler 61.764 projede görüldü. Bir kısmında ardından sır çalan betik eklendi.

SafeDep, betiğin 7309 olayda mevcut GitHub Actions iş akışlarına eklendiğini saptadı. Başka 771 olayda npm postinstall üzerinden yayıldı. Bu, bir paket kurulurken kodun otomatik çalışmasını sağlayan bir mekanizma. Böylece kod yalnızca projenin bulut altyapısında değil, geliştiricinin kendi bilgisayarında da çalışabilirdi.

Saldırgan genellikle birkaç dakika sonra değişiklikleri geri alıyordu. Betiğin çalışma kayıtları da çalıştırmalarla birlikte siliniyordu. Görünür bir iz olmaması, verinin çalınmadığı anlamına gelmiyor. Ele geçirilen GitHub hesapları bu sayede uzun süre fark edilmeyebilir.

Betik neleri topluyordu

• GitHub Actions sırları, GITHUB_TOKEN, geçici OIDC ve Actions Runtime token'ları
• Yapay zeka servislerinin anahtarları
• AWS, Azure, Google Cloud, Kubernetes, npm, PyPI ve SSH yapılandırma dosyalarındaki bilgiler
• Depo içeriği, son 100 commit ve yakın tarihli iş akışı çıktıları

Şirketlerin kendi sunucularındaki self-hosted runner'larda betik ek bulut kimlik bilgilerine de uzanabiliyordu. Sanal makine metaverisi, Docker konteyner bilgileri ve systemd yapılandırması bunlar arasındaydı. Veriler HTTP POST ile uzak sunuculara ya da Telegram'a gönderildi. İncelenen 200 kötü amaçlı commitin yaklaşık %20'sinde yalnızca Telegram kullanıldı.

Bulutta kalıcılık riski

GitHub OIDC token'ı eline geçiren saldırgan bunları AWS, Google Cloud ve Azure oturumlarıyla değiştirebiliyordu. Kalıcı AWS anahtarları oluşturabiliyor, bulut rollerinin güven politikalarını da değiştirebiliyordu. Azure'da wfx-ci- önekli federe kimlik bilgileri ekleyebiliyordu; bunlar iş akışlarının parolasız yetkilendirilmesine izin veriyor. Bu yöntemler, ilk token'lar iptal edilip anahtarlar yenilense bile çalışmaya devam edebilir.

Aikido ayrıca Ekim ayındaki GhostAction saldırısıyla örtüşme buldu. O dönem etkilenen GitHub hesapları, yeni kampanyaya yaklaşık 1000 kat daha sık dahil oldu. Şirket yine de iki saldırıyı aynı kişiye bağlamıyor; araçlar ve altyapı farklıydı.