במעקבפשיעת סייבר
האקרים השתמשו ב־4,837 חשבונות GitHub גנובים בקמפיין wfx-loot נגד מאגרי קוד
Hackread מדווח, בהסתמך על Aikido Security, כי תוקפים השתמשו ב־4,837 חשבונות GitHub שנפרצו כדי לפתוח בקשות משיכה לבדיקה ב־61,764 מאגרי קוד, וכי קוד לגניבת אישורי גישה אושר כמי שרץ לפחות ב־1,835 מהם.
Aikido Security זיהתה את הקמפיין בשם wfx-loot. התוקפים פתחו בקשות משיכה לבדיקה בשם docs: dependency audit notes מענפים בשם wfx-docs, כדי לבדוק אם אישורי גישה גנובים מאפשרים כתיבה למאגר. במקום שבו הגישה אפשרה זאת, הם המשיכו בהעלאות קוד זדוניות שהוסוו לתחזוקה שגרתית. לפי Hackread, סקריפט הקליפה הזדוני מחפש סודות של GitHub, אישורי גישה לענן, מפתחות SSH ו־GPG ואישורי גישה הקשורים לשירותי בינה מלאכותית, ולאחר מכן התוקפים מחזירים את השינויים שביצעו ומוחקים הרצות של תהליכי עבודה ויומנים.
Fly.io אישרה בהודעת אבטחה מ־November 12 כי גורם לא מורשה השתמש באסימונים שהונפקו ל־GitHub App שלה מול מאגרי קוד של לקוחות, לאחר שאסימון גישה של GitHub נשאר בקובץ .git/config בתיקיית הבנייה. החברה מסרה כי המערכות שלה עצמן לא נפרצו. StepSecurity זיהתה דגימות חדשות יותר שמשתמשות רק ב־Telegram כדי לשלוח נתונים גנובים החל בערך מ־05:30 UTC ב־November 12.
בעלי מאגרי קוד צריכים לסקור את הפעילות מאז November 10 וללקט ענפי wfx-docs לא מוכרים, בקשות משיכה של dependency-audit והעלאות קוד שמוצגות כתחזוקת CI, ולבדוק סקריפטים קיימים של קליפה וגם וו־npm וגם קובצי תהליכי עבודה. במקום שבו התוכנה הזדונית רצה, יש להתייחס לסודות ולגישה לענן שהיו זמינים לאותו תהליך עבודה כאל פגועים.
למה זה חשוב הקמפיין נשען על אישורי גישה גנובים של חשבונות ולא על פגיעות מפורסמת ב־GitHub, ולכן החשיפה תלויה בתהליכי העבודה, באסימונים ובחיבורי הענן שיש בכל מאגר. צוותי אבטחה צריכים לסקור את אוטומציית תהליכי העבודה בחיפוש אחר ענפים והעלאות קוד לא מוכרים, להחליף סודות חשופים ולבדוק בחשבונות ענן מחוברים אם נוספו מפתחות גישה חדשים או אישורי זהות federated, שכן מחיקת הקוד הזדוני אינה מבטלת את מה שכבר נגנב.
מקורות
- Hackers Use 4,837 Stolen GitHub Accounts to Target 61,764 Repositories (נפתח באתר המקור)עיקריHackread
הקישורים נפתחים באתר המקור. הנתונים מצוטטים כפי שהם מופיעים במקורות.