Prema izvještaju Cybernews-a, kampanja izgrađena oko ukradenih GitHub tokena i WFX stealera ugrožava otprilike 66.000 repozitorija. Napadači su navodno iskoristili ukradene pristupne tokene kako bi podmetnuli zlonamjerne datoteke radnih tokova, pretvarajući razvojni proces u način prikupljanja tajni. Dostupno izvješće je kratko, pa se ovaj tekst drži onoga što je navedeno i usredotočuje se na praktične korake koje programeri mogu poduzeti odmah.

Kako su ukradeni tokeni omogućili napad na GitHub radne tokove

Prema izvješću, kampanja je iskoristila ukradene tokene za dodavanje radnih tokova "WFX stealer" u oko 66.000 GitHub repozitorija. Token je vjerodajnica koja osobi ili aplikaciji omogućuje djelovanje na računu bez upisivanja zaporke. Ako napadač posjeduje valjani token s dovoljno dopuštenja, GitHub njegove radnje tretira kao legitimne.

Upravo to čini radne tokove privlačnom metom. GitHub Actions radni tokovi su datoteke pohranjene u repozitoriju koje se izvršavaju automatski, često s pristupom tajnama koje projekt koristi za izgradnju, testiranje i implementaciju koda. Zlonamjerni radni tok ne mora iskorištavati softversku grešku. Dovoljno je da ga potvrdi netko za koga GitHub vjeruje da je ovlašten, a zatim se izvršava unutar procesa.

Sažetak izvora ne opisuje kako su tokeni izvorno ukradeni i nećemo nagađati. Za čitatelje je važan obrazac: sam proces postaje mehanizam dostave, a vjerodajnice koje ga otključavaju prava su nagrada.

Što WFX stealer može izložiti iz računa programera

Izvješće opisuje radne tokove kao one koji kradu tajne, a predloženi kut napominje da CI/CD procesi mogu postati put do tajni programera i osobnih računa. U praktičnom smislu, stealer koji se izvršava u procesu može dosegnuti sve što taj proces može dosegnuti. Tipični primjeri takvog materijala uključuju:

  • API ključeve i vjerodajnice za oblak pohranjene kao tajne repozitorija
  • Tokene za implementaciju i vjerodajnice registra paketa
  • Ostale GitHub tokene dostupne radnom toku

Točni podaci koje WFX stealer prikuplja nisu potvrđeni u informacijama koje imamo, stoga gornji popis shvatite kao kategorije rizika uobičajene za tajne u procesima, a ne kao potvrđene nalaze o ovoj kampanji. Šira je briga da jedan ukradeni token može dovesti do više ukradenih tokena. Tajne prikupljene iz jednog repozitorija mogu otključati druge usluge, što je način na koji kompromitacija repozitorija može prerasti u osobne i organizacijske račune.

To se uklapa u širu temu koju smo već obrađivali: sustavi u koje bi ljudi trebali vjerovati okreću se protiv njih. Naš pregled kako Pixel zero-click ranjivost i ScreenConnect napadi na MSP-ove dijele tu istu neugodnu nit pokazuje koliko je često upravo pouzdani alat slaba točka.

Kako provjeriti jesu li vaši repozitoriji zahvaćeni

Ne možemo vam reći je li određeni repozitorij na popisu zahvaćenih, a dostupno izvješće ga ne objavljuje. Ipak, sami možete tražiti znakove neovlaštenog mijenjanja:

  1. Pregledajte datoteke radnih tokova. Otvorite mapu .github/workflows u svakom repozitoriju i potražite datoteke koje ne prepoznajete ili izmjene koje niste napravili.
  2. Provjerite povijest commitova i pull requestova. Potražite nedavne commitove ili grane koje diraju radne tokove, posebno s nepoznatih računa ili u neobično vrijeme.
  3. Pregledajte zapisnike izvršavanja Actionsa. Neočekivana izvršavanja, novi okidači ili koraci koji upućuju odlazne mrežne zahtjeve zaslužuju bliži pogled.
  4. Pregledajte svoj sigurnosni zapisnik i ovlaštene aplikacije. U GitHub postavkama provjerite koji osobni pristupni tokeni, OAuth aplikacije i GitHub Apps imaju pristup te uklonite sve što ne koristite.
  5. Pretpostavite izloženost ako nešto pronađete. Svaku tajnu koju je taj radni tok mogao pročitati tretirajte kao kompromitiranu i zamijenite je.

Jačanje GitHuba: tokeni, MFA i Actions trećih strana

Nijedan od ovih koraka nije egzotičan, ali zajedno smanjuju ono što ukradeni token može učiniti.

Rotirajte i smanjite tokene. Opovrgnite stare osobne pristupne tokene i izdajte nove s najužim opsegom i najkraćim rokom valjanosti koji funkcionira. Detaljni tokeni ograničeni na određene repozitorije sigurniji su od širokih.

Uključite višefaktorsku autentifikaciju. MFA štiti prijavu na vaš račun, iako vrijedi zapamtiti da ukradeni token može u potpunosti zaobići korak prijave. Zato je higijena tokena jednako važna.

Ograničite dopuštenja radnih tokova. Postavite zadani token radnog toka na samo za čitanje i dodijelite pravo pisanja samo tamo gdje je posao zaista potrebno. Zahtijevajte pregled prije spajanja izmjena datoteka radnih tokova, primjerice putem zaštite grana i vlasnika koda.

Provjerite Actions trećih strana. Prikvačite Actions na određeni commit umjesto na pomičnu oznaku i dajte prednost onima od maintainera kojima vjerujete. Držite tajne izvan poslova kojima nisu potrebne.

Što to znači za vas

Ako održavate čak i mali projekt na GitHubu, vaše su datoteke radnih tokova dio vaše napadne površine. Ukradeni token može nekome omogućiti da doda radni tok koji tiho čita vaše tajne, a možda nikada nećete vidjeti upozorenje. Pojedinačni programeri, održavatelji otvorenog koda i tvrtke s automatiziranim implementacijama svi su u dometu.

Dobra je vijest da su obrane pod vašom kontrolom i troše malo vremena. To je također dio ponavljajućeg obrasca u kojem napadači idu na račune i alate kojima ljudi već vjeruju. Naše izvješće o Incransom tvrdi napad na TrRAC Inc. druga je vrsta incidenta, ali naglašava kako se ukradeni pristup brzo može pretvoriti u stvarnu štetu.

Koraci koje možete poduzeti

  • Rotirajte svoje GitHub tokene danas i izbrišite sve koje više ne koristite.
  • Omogućite MFA na svakom računu s pristupom repozitoriju.
  • Provjerite svoje datoteke .github/workflows na izmjene koje niste napravili.
  • Postavite dopuštenja radnih tokova na samo za čitanje prema zadanim postavkama i prikvačite Actions trećih strana.
  • Ako pronađete nešto sumnjivo, zamijenite svaku tajnu kojoj je taj radni tok mogao pristupiti.

Izvješća o ukradenim GitHub tokenima i WFX stealeru još se razvijaju i detalji se mogu promijeniti. Ne čekajte potvrdu da pospremite vlastite postavke: rotirajte tokene, omogućite MFA i provjerite svoje radne tokove danas.