Podle zpravodajství Cybernews ohrožuje údajná kampaň postavená na ukradených tokenech GitHubu a stealeru WFX přibližně 66 000 repozitářů. Útočníci údajně použili ukradené přístupové tokeny k nasazení škodlivých workflow souborů, čímž proměnili vývojový pipeline v cestu ke sběru tajemství. Dostupné zpravodajství je stručné, proto se tento příspěvek drží toho, co bylo uvedeno, a zaměřuje se na praktické kroky, které mohou vývojáři podniknout ihned.

Jak ukradené tokeny umožnily útok na GitHub workflow

Podle zprávy kampaň použila ukradené tokeny k přidání workflow „WFX stealer“ do přibližně 66 000 repozitářů GitHubu. Token je přihlašovací údaj, který umožňuje osobě nebo aplikaci jednat jménem účtu bez zadávání hesla. Pokud útočník drží platný token s dostatečnými oprávněními, GitHub považuje jeho akce za legitimní.

Právě to dělá z workflow atraktivní cíl. Workflow GitHub Actions jsou soubory uložené v repozitáři, které se spouštějí automaticky, často s přístupem k tajemstvím, která projekt používá pro sestavování, testování a nasazování kódu. Škodlivý workflow nemusí zneužívat softwarovou chybu. Stačí, aby jej commitovala osoba, kterou GitHub považuje za oprávněnou, a pak se spustí uvnitř pipeline.

Shrnutí zdroje neuvádí, jak byly tokeny původně ukradeny, a nebudeme spekulovat. Pro čtenáře je důležitý vzorec: pipeline samotná se stává mechanismem doručení a přihlašovací údaje, které ji odemykají, jsou skutečnou kořistí.

Co může WFX stealer odhalit z vývojářských účtů

Zpráva popisuje workflow jako krádež tajemství a naznačený úhel poznamenává, že CI/CD pipeline se mohou stát cestou k tajemstvím vývojářů a osobním účtům. V praxi může být stealer běžící v pipeline schopen dosáhnout na vše, na co dosáhne daná pipeline. Typické příklady takového materiálu zahrnují:

  • API klíče a cloudové přihlašovací údaje uložené jako tajemství repozitáře
  • Nasadovací tokeny a přihlašovací údaje k registrům balíčků
  • Další tokeny GitHubu dostupné workflow

Přesná data, která WFX stealer sbírá, nebyla v informacích, které máme, potvrzena, proto berte výše uvedený seznam jako kategorie rizik společných pro tajemství pipeline, nikoli jako ověřená zjištění o této kampani. Širší obavou je, že jeden ukradený token může vést k dalším ukradeným tokenům. Tajemství získaná z jednoho repozitáře mohou odemknout další služby, a tak se kompromitace repozitáře může rozšířit do osobních a organizačních účtů.

To zapadá do širšího tématu, kterému jsme se již věnovali: systémy, kterým mají lidé důvěřovat, se obracejí proti nim. Náš pohled na to, jak chyba Pixel zero-click a útoky ScreenConnect na MSP sdílely stejnou nepříjemnou nit, ukazuje, jak často je důvěryhodný nástroj slabým místem.

Jak zjistit, zda byly vaše repozitáře zasaženy

Nemůžeme vám říci, zda je konkrétní repozitář na seznamu zasažených, a dostupné zpravodajství žádný nezveřejňuje. Přesto můžete sami hledat známky manipulace:

  1. Zkontrolujte workflow soubory. Otevřete složku .github/workflows v každém repozitáři a hledejte soubory, které nepoznáváte, nebo úpravy, které jste neprovedli.
  2. Zkontrolujte historii commitů a pull requestů. Hledejte nedávné commity nebo větve zasahující do workflow, zejména z neznámých účtů nebo v neobvyklých časech.
  3. Prozkoumejte záznamy běhů Actions. Neočekávané běhy, nové spouštěče nebo kroky provádějící odchozí síťové požadavky si zaslouží bližší pohled.
  4. Zkontrolujte svůj bezpečnostní log a autorizované aplikace. V nastavení GitHubu zkontrolujte, které osobní přístupové tokeny, OAuth aplikace a GitHub Apps mají přístup, a odstraňte vše, co nepoužíváte.
  5. Pokud něco najdete, předpokládejte expozici. Považujte každé tajemství, které mohl daný workflow přečíst, za kompromitované, a nahraďte je.

Zpevnění GitHubu: tokeny, MFA a Actions třetích stran

Žádný z těchto kroků není exotický, ale společně snižují to, co může ukradený token způsobit.

Rotujte a zmenšujte tokeny. Odvolejte staré osobní přístupové tokeny a vystavte nové s nejužším rozsahem a nejkratší platností, která funguje. Jemně granulované tokeny omezené na konkrétní repozitáře jsou bezpečnější než široké.

Zapněte vícefaktorové ověřování. MFA chrání přihlášení k účtu, i když stojí za to pamatovat, že ukradený token může přihlašovací krok zcela obejít. Právě proto je hygiena tokenů stejně důležitá.

Omezte oprávnění workflow. Nastavte výchozí token workflow na pouze pro čtení a udělte oprávnění k zápisu pouze tam, kde jej úloha skutečně potřebuje. Vyžadujte kontrolu před sloučením změn workflow souborů, například prostřednictvím ochrany větví a code owners.

Prověřujte Actions třetích stran. Připněte Actions ke konkrétnímu commitu namísto pohyblivého tagu a upřednostňujte ty od správců, kterým důvěřujete. Držte tajemství mimo úlohy, které je nepotřebují.

Co to znamená pro vás

Pokud spravujete na GitHubu i jen malý projekt, vaše workflow soubory jsou součástí vaší útočné plochy. Ukradený token může někomu umožnit přidat workflow, které tiše čte vaše tajemství, a vy nemusíte nikdy vidět upozornění. jednotliví vývojáři, správci open source a společnosti s automatizovaným nasazováním jsou všichni v rozsahu.

Dobrou zprávou je, že obrany jsou ve vaší kontrole a stojí málo času. To je také součástí opakujícího se vzorce, kdy útočníci míří na účty a nástroje, kterým lidé již důvěřují. Naše zpravodajství o Incransom tvrdícím útok na TrRAC Inc. je jiným typem incidentu, ale podtrhuje, jak rychle se ukradený přístup může proměnit ve skutečnou škodu.

Praktické závěry

  • Rotujte své tokeny GitHubu ještě dnes a smažte všechny, které již nepoužíváte.
  • Zapněte MFA na každém účtu s přístupem k repozitáři.
  • Proveďte audit souborů .github/workflows na změny, které jste neprovedli.
  • Nastavte oprávnění workflow ve výchozím stavu na pouze pro čtení a připněte Actions třetích stran.
  • Pokud najdete něco podezřelého, nahraďte každé tajemství, ke kterému mohl daný workflow přistupovat.

Zprávy o ukradených tokenech GitHubu a WFX stealeru se stále vyvíjejí a podrobnosti se mohou změnit. Nečekejte na potvrzení, abyste si uspořádali vlastní nastavení: rotujte tokeny, zapněte MFA a auditujte své workflow ještě dnes.