Ein Bericht über eine Kampagne rund um gestohlene GitHub-Tokens und den WFX-Stealer bringt laut einer Reportage von Cybernews etwa 66.000 Repositories in Gefahr. Die Angreifer sollen gestohlene Zugriffstokens verwendet haben, um bösartige Workflow-Dateien zu platzieren und damit eine Entwicklungspipeline in einen Weg zum Sammeln von Geheimnissen zu verwandeln. Die verfügbare Berichterstattung ist knapp, daher beschränkt sich dieser Beitrag auf das, was mitgeteilt wurde, und konzentriert sich auf praktische Schritte, die Entwickler jetzt ergreifen können.

Wie gestohlene Tokens den GitHub-Workflow-Angriff ermöglichten

Laut dem Bericht nutzte die Kampagne gestohlene Tokens, um „WFX-Stealer"-Workflows zu etwa 66.000 GitHub-Repositories hinzuzufügen. Ein Token ist ein Berechtigungsnachweis, der es einer Person oder einer Anwendung ermöglicht, im Namen eines Kontos zu handeln, ohne ein Passwort einzugeben. Wenn ein Angreifer ein gültiges Token mit ausreichenden Berechtigungen besitzt, behandelt GitHub seine Aktionen als legitim.

Das macht Workflows zu einem attraktiven Ziel. GitHub-Actions-Workflows sind Dateien, die in einem Repository gespeichert sind und automatisch ausgeführt werden, oft mit Zugriff auf die Geheimnisse, die ein Projekt zum Bauen, Testen und Bereitstellen von Code verwendet. Ein bösartiger Workflow muss keine Software-Schwachstelle ausnutzen. Er muss nur von jemandem committet werden, von dem GitHub glaubt, dass er autorisiert ist, und dann läuft er innerhalb der Pipeline.

Die Quellzusammenfassung erläutert nicht, wie die Tokens ursprünglich gestohlen wurden, und wir werden nicht raten. Was für Leser wichtig ist, ist das Muster: Die Pipeline selbst wird zum Übermittlungsmechanismus, und die Zugangsdaten, die sie entsperren, sind die eigentliche Beute.

Was der WFX-Stealer aus Entwicklerkonten preisgeben kann

Der Bericht beschreibt die Workflows als geheimnisstehlend, und die vorgeschlagene Betrachtungsweise merkt an, dass CI/CD-Pipelines zu einem Weg zu den Geheimnissen und persönlichen Konten von Entwicklern werden können. Praktisch gesprochen kann ein in einer Pipeline laufender Stealer in der Lage sein, alles zu erreichen, was diese Pipeline erreichen kann. Typische Beispiele für solches Material sind:

  • API-Schlüssel und Cloud-Zugangsdaten, die als Repository-Geheimnisse gespeichert sind
  • Deployment-Tokens und Zugangsdaten für Paketregistries
  • Andere GitHub-Tokens, die dem Workflow zur Verfügung stehen

Die genauen Daten, die der WFX-Stealer sammelt, wurden in den uns vorliegenden Informationen nicht bestätigt, daher sollten Sie die obige Liste als Kategorien von Risiken verstehen, die für Pipeline-Geheimnisse üblich sind, nicht als verifizierte Erkenntnisse über diese Kampagne. Die größere Sorge ist, dass ein gestohlenes Token zu weiteren gestohlenen Tokens führen kann. Aus einem Repository entwendete Geheimnisse können andere Dienste entsperren, und so kann sich eine Repository-Kompromittierung in persönliche und organisatorische Konten ausbreiten.

Dies passt zu einem breiteren Thema, das wir bereits behandelt haben: Systeme, denen Menschen vertrauen sollen, werden gegen sie gewendet. Unser Blick darauf, wie eine Pixel-Zero-Click-Schwachstelle und ScreenConnect-Angriffe auf MSPs denselben unbehaglichen Faden teilten, zeigt, wie oft das vertraute Werkzeug der Schwachpunkt ist.

So prüfen Sie, ob Ihre Repositories betroffen waren

Wir können Ihnen nicht sagen, ob ein bestimmtes Repository auf der betroffenen Liste steht, und die verfügbare Berichterstattung veröffentlicht keine. Sie können dennoch selbst nach Anzeichen von Manipulation suchen:

  1. Überprüfen Sie Workflow-Dateien. Öffnen Sie den Ordner .github/workflows in jedem Repository und suchen Sie nach Dateien, die Sie nicht erkennen, oder nach Änderungen, die Sie nicht vorgenommen haben.
  2. Prüfen Sie die Commit- und Pull-Request-Historie. Achten Sie auf aktuelle Commits oder Branches, die Workflows betreffen, insbesondere von unbekannten Konten oder zu ungewöhnlichen Zeiten.
  3. Untersuchen Sie die Actions-Ausführungsprotokolle. Unerwartete Ausführungen, neue Trigger oder Schritte, die ausgehende Netzwerkanfragen stellen, verdienen einen genaueren Blick.
  4. Überprüfen Sie Ihr Sicherheitsprotokoll und Ihre autorisierten Apps. Prüfen Sie in den GitHub-Einstellungen, welche persönlichen Zugriffstokens, OAuth-Apps und GitHub Apps Zugriff haben, und entfernen Sie alles, was Sie nicht verwenden.
  5. Gehen Sie bei jedem Fund von einer Kompromittierung aus. Behandeln Sie jedes Geheimnis, das dieser Workflow lesen konnte, als kompromittiert und ersetzen Sie es.

GitHub härten: Tokens, MFA und Drittanbieter-Actions

Keiner dieser Schritte ist exotisch, aber zusammen reduzieren sie, was ein gestohlenes Token bewirken kann.

Rotieren und verkleinern Sie Tokens. Widerrufen Sie alte persönliche Zugriffstokens und stellen Sie neue mit dem engsten Umfang und der kürzesten Gültigkeitsdauer aus, die funktioniert. Feingranulare Tokens, die auf bestimmte Repositories beschränkt sind, sind sicherer als breite.

Aktivieren Sie Multi-Faktor-Authentifizierung. MFA schützt Ihre Kontoanmeldung, wobei es sich lohnt zu bedenken, dass ein gestohlenes Token den Anmeldeschritt möglicherweise vollständig umgehen kann. Deshalb ist Token-Hygiene ebenso wichtig.

Beschränken Sie Workflow-Berechtigungen. Setzen Sie das Standard-Workflow-Token auf schreibgeschützt und gewähren Sie Schreibzugriff nur dort, wo ein Job ihn wirklich benötigt. Verlangen Sie eine Überprüfung, bevor Änderungen an Workflow-Dateien zusammengeführt werden, zum Beispiel durch Branch-Schutz und Code-Owner.

Prüfen Sie Drittanbieter-Actions. Binden Sie Actions an einen bestimmten Commit statt an ein verschiebbares Tag und bevorzugen Sie solche von Maintainern, denen Sie vertrauen. Halten Sie Geheimnisse aus Jobs heraus, die sie nicht benötigen.

Was das für Sie bedeutet

Wenn Sie auch nur ein kleines Projekt auf GitHub betreuen, sind Ihre Workflow-Dateien Teil Ihrer Angriffsfläche. Ein gestohlenes Token kann es jemandem ermöglichen, einen Workflow hinzuzufügen, der still Ihre Geheimnisse liest, und Sie bemerken möglicherweise nie eine Warnung. Einzelentwickler, Open-Source-Maintainer und Unternehmen mit automatisierten Deployments sind alle betroffen.

Die gute Nachricht ist, dass die Abwehrmaßnahmen in Ihrer Kontrolle liegen und wenig Zeit kosten. Dies ist auch Teil eines wiederkehrenden Musters, bei dem Angreifer auf die Konten und Werkzeuge zielen, denen Menschen bereits vertrauen. Unsere Berichterstattung über Incransom, die einen Angriff auf TrRAC Inc. beanspruchen ist eine andere Art von Vorfall, unterstreicht aber, wie schnell gestohlener Zugriff zu echtem Schaden werden kann.

Umsetzbare Erkenntnisse

  • Rotieren Sie heute Ihre GitHub-Tokens und löschen Sie alle, die Sie nicht mehr verwenden.
  • Aktivieren Sie MFA für jedes Konto mit Repository-Zugriff.
  • Prüfen Sie Ihre .github/workflows-Dateien auf Änderungen, die Sie nicht vorgenommen haben.
  • Setzen Sie Workflow-Berechtigungen standardmäßig auf schreibgeschützt und binden Sie Drittanbieter-Actions an feste Commits.
  • Wenn Sie etwas Verdächtiges finden, ersetzen Sie jedes Geheimnis, auf das dieser Workflow zugreifen konnte.

Die Berichte über gestohlene GitHub-Tokens und den WFX-Stealer entwickeln sich noch weiter, und Details können sich ändern. Warten Sie nicht auf eine Bestätigung, um Ihre eigene Einrichtung in Ordnung zu bringen: Rotieren Sie Tokens, aktivieren Sie MFA und prüfen Sie Ihre Workflows noch heute.