وفقًا لتقرير نشرته Cybernews، فإن حملة يُزعم أنها مبنية على رموز GitHub المسروقة وبرنامج WFX الخبيث تعرّض ما يقرب من 66,000 مستودع للخطر. ويُزعم أن المهاجمين استخدموا رموز وصول مسروقة لزرع ملفات سير عمل خبيثة، مما حوّل مسار التطوير إلى وسيلة لجمع الأسرار. التقرير المتاح موجز، لذا يلتزم هذا المقال بما ورد ذكره ويركز على الخطوات العملية التي يمكن للمطورين اتخاذها الآن.
كيف مكّنت الرموز المسروقة من تنفيذ هجوم سير عمل GitHub
وفقًا للتقرير، استخدمت الحملة رموزًا مسروقة لإضافة سير عمل "WFX stealer" إلى حوالي 66,000 مستودع على GitHub. الرمز هو بيانات اعتماد تتيح لشخص أو تطبيق التصرف نيابة عن حساب دون كتابة كلمة مرور. إذا كان لدى المهاجم رمز صالح بصلاحيات كافية، فإن GitHub يعامل إجراءاته على أنها مشروعة.
وهذا ما يجعل سير العمل هدفًا جذابًا. ملفات سير عمل GitHub Actions هي ملفات مخزنة في مستودع تُنفَّذ تلقائيًا، وغالبًا ما يكون لديها وصول إلى الأسرار التي يستخدمها المشروع لبناء الكود واختباره ونشره. لا يحتاج سير العمل الخبيث إلى استغلال ثغرة برمجية. كل ما يحتاجه هو أن يقوم شخص يعتقد GitHub أنه مخوَّل بارتكابه، ثم يُنفَّذ داخل مسار العمل.
لا يوضح ملخص المصدر كيف سُرقت الرموز في الأصل، ولن نخمّن. ما يهم القراء هو النمط: يصبح مسار العمل نفسه آلية التوصيل، وبيانات الاعتماد التي تفتحه هي الجائزة الحقيقية.
ما يمكن أن يكشفه برنامج WFX الخبيث من حسابات المطورين
يصف التقرير سير العمل بأنه سارق للأسرار، وتشير الزاوية المقترحة إلى أن مسارات CI/CD يمكن أن تصبح طريقًا إلى أسرار المطورين وحساباتهم الشخصية. من الناحية العملية، قد يكون السارق الذي يعمل في مسار عمل في وضع يسمح له بالوصول إلى كل ما يمكن لمسار العمل هذا الوصول إليه. من الأمثلة النموذجية على هذه المواد:
- مفاتيح API وبيانات اعتماد السحابة المخزنة كأسرار في المستودع
- رموز النشر وبيانات اعتماد سجل الحزم
- رموز GitHub الأخرى المتاحة لسير العمل
لم يتم تأكيد البيانات الدقيقة التي يجمعها برنامج WFX الخبيث في المعلومات المتوفرة لدينا، لذا تعامل مع القائمة أعلاه على أنها فئات مخاطر شائعة لأسرار مسار العمل، وليست نتائج موثقة حول هذه الحملة. القلق الأوسع هو أن رمزًا مسروقًا واحدًا يمكن أن يؤدي إلى المزيد من الرموز المسروقة. الأسرار المحصودة من مستودع واحد قد تفتح خدمات أخرى، وهكذا يمكن أن ينتشر اختراق المستودع إلى الحسابات الشخصية والمؤسسية.
يتوافق هذا مع موضوع أوسع تناولناه سابقًا: تحويل الأنظمة التي يُفترض أن يثق بها الناس ضدهم. تحليلنا لكيفية استغلال ثغرة Pixel بدون نقر وهجمات ScreenConnect على مزودي خدمات MSP شارك هذا الخيط المقلق نفسه ويُظهر كم مرة تكون الأداة الموثوقة هي نقطة الضعف.
كيفية التحقق مما إذا كانت مستودعاتك قد تأثرت
لا يمكننا إخبارك ما إذا كان مستودع معين على قائمة المتأثرين، والتقرير المتاح لا ينشر واحدة. لا يزال بإمكانك البحث عن علامات التلاعب بنفسك:
- راجع ملفات سير العمل. افتح مجلد
.github/workflowsفي كل مستودع وابحث عن ملفات لا تتعرف عليها، أو تعديلات لم تقم بها. - تحقق من سجل الإيداعات وطلبات السحب. ابحث عن إيداعات أو فروع حديثة تمس سير العمل، خاصة من حسابات غير مألوفة أو في أوقات غريبة.
- افحص سجلات تشغيل Actions. التشغيلات غير المتوقعة، أو المحفزات الجديدة، أو الخطوات التي تُجري طلبات شبكة صادرة تستحق نظرة أقرب.
- راجع سجل الأمان والتطبيقات المخوَّلة. في إعدادات GitHub، تحقق من رموز الوصول الشخصية وتطبيقات OAuth وتطبيقات GitHub التي لديها وصول، وأزل أي شيء لا تستخدمه.
- افترض التعرض إذا وجدت أي شيء. تعامل مع كل سر يمكن لسير العمل هذا قراءته على أنه مخترق واستبدله.
تحصين GitHub: الرموز والمصادقة متعددة العوامل وإجراءات الطرف الثالث
لا شيء من هذه الخطوات غريب، لكنها معًا تقلل مما يمكن أن يفعله رمز مسروق.
قم بتدوير الرموز وتقليصها. ألغِ رموز الوصول الشخصية القديمة وأصدر رموزًا جديدة بأضيق نطاق وأقصر صلاحية ممكنة. الرموز الدقيقة المحدودة بمستودعات معينة أكثر أمانًا من الرموز الواسعة.
فعّل المصادقة متعددة العوامل. تحمي المصادقة متعددة العوامل تسجيل الدخول إلى حسابك، رغم أنه يجدر التذكر أن الرمز المسروق قد يتجاوز خطوة تسجيل الدخول تمامًا. لهذا السبب فإن نظافة الرموز مهمة بنفس القدر.
قيّد صلاحيات سير العمل. اضبط رمز سير العمل الافتراضي على القراءة فقط وامنح صلاحية الكتابة فقط حيث تحتاجها المهمة فعلاً. اطلب المراجعة قبل دمج التغييرات على ملفات سير العمل، على سبيل المثال من خلال حماية الفروع ومالكي الكود.
تحقق من إجراءات الطرف الثالث. ثبّت الإجراءات على إيداع محدد بدلاً من وسم قابل للتغيير، وفضّل تلك الصادرة من مشرفين تثق بهم. أبعد الأسرار عن المهام التي لا تحتاجها.
ماذا يعني هذا لك
إذا كنت تدير حتى مشروعًا صغيرًا على GitHub، فإن ملفات سير العمل لديك جزء من سطح الهجوم الخاص بك. يمكن لرمز مسروق أن يتيح لشخص ما إضافة سير عمل يقرأ أسرارك بهدوء، وقد لا ترى تنبيهًا أبدًا. المطورون الأفراد ومشرفو المصادر المفتوحة والشركات التي لديها عمليات نشر آلية كلهم ضمن النطاق.
الخبر السار هو أن الدفاعات تحت سيطرتك وتكلف وقتًا قليلاً. هذا أيضًا جزء من نمط متكرر يستهدف فيه المهاجمون الحسابات والأدوات التي يثق بها الناس بالفعل. تغطيتنا لـادعاء Incransom مهاجمة TrRAC Inc. هي نوع مختلف من الحوادث، لكنها تؤكد مدى سرعة تحول الوصول المسروق إلى ضرر حقيقي.
النقاط الرئيسية القابلة للتنفيذ
- قم بتدوير رموز GitHub الخاصة بك اليوم واحذف أي رموز لم تعد تستخدمها.
- فعّل المصادقة متعددة العوامل على كل حساب لديه وصول إلى المستودعات.
- دقّق ملفات
.github/workflowsالخاصة بك بحثًا عن تغييرات لم تقم بها. - اضبط صلاحيات سير العمل على القراءة فقط افتراضيًا وثبّت إجراءات الطرف الثالث.
- إذا وجدت أي شيء مريب، استبدل كل سر يمكن لسير العمل هذا الوصول إليه.
تقارير رموز GitHub المسروقة وبرنامج WFX الخبيث لا تزال تتطور، وقد تتغير التفاصيل. لا تنتظر التأكيد لترتيب إعداداتك: قم بتدوير الرموز وفعّل المصادقة متعددة العوامل ودقّق سير عملك اليوم.
