Egy állítólagos, GitHub ellopott tokenekre és a WFX stealerre épülő kampány körülbelül 66 000 repót tesz kockázatnak kitetté a Cybernews tudósítása szerint. A támadók állítólag ellopott hozzáférési tokeneket használtak rosszindulatú workflow-fájlok elültetésére, ezáltal a fejlesztési folyamatot titkok gyűjtésének eszközévé alakították. A rendelkezésre álló tudósítás rövid, ezért ez a bejegyzés ahhoz tartja magát, amit megállapítottak, és a fejlesztők számára most azonnal megtehető gyakorlati lépésekre összpontosít.
Hogyan tették lehetővé az ellopott tokenek a GitHub workflow-támadást
A jelentés szerint a kampány ellopott tokeneket használt arra, hogy „WFX stealer” workflow-kat adjon hozzávetőleg 66 000 GitHub repóhoz. A token olyan hitelesítő adat, amely lehetővé teszi egy személy vagy alkalmazás számára, hogy jelszó beírása nélkül cselekedjen egy fiókon. Ha egy támadó elegendő jogosultsággal rendelkező érvényes tokent birtokol, a GitHub a műveleteit legitimnek tekinti.
Ez teszi a workflow-kat vonzó célponttá. A GitHub Actions workflow-k a repóban tárolt fájlok, amelyek automatikusan futnak, gyakran hozzáférve azokhoz a titkokhoz, amelyeket egy projekt a kód építéséhez, teszteléséhez és telepítéséhez használ. Egy rosszindulatú workflow-nak nem kell szoftverhibát kihasználnia. Csak azt kell valaki által commitolni, akit a GitHub feljogosítottnak hisz, és aztán a folyamaton belül fut.
A forrásösszefoglaló nem részletezi, hogyan lopták el eredetileg a tokeneket, és nem fogunk találgatni. Ami az olvasók számára fontos, az a minta: maga a folyamat válik a szállítási mechanizmussá, és az azt megnyitó hitelesítő adatok az igazi zsákmány.
Mit tehet közzé a WFX stealer fejlesztői fiókokból
A tudósítás a workflow-kat titoklopóként írja le, és a javasolt szempont megjegyzi, hogy a CI/CD folyamatok a fejlesztők titkaihoz és személyes fiókjaihoz vezető úttá válhatnak. Gyakorlati értelemben egy folyamatban futó stealer mindent elérhet, amit az a folyamat elérhet. Az ilyen anyagok tipikus példái közé tartoznak:
- Tárhelytitkokként tárolt API-kulcsok és felhő-hitelesítő adatok
- Telepítési tokenek és csomagregiszter-hitelesítő adatok
- A workflow számára elérhető egyéb GitHub tokenek
A WFX stealer által gyűjtött pontos adatokat a rendelkezésünkre álló információkban nem erősítették meg, ezért a fenti listát a folyamattitkokra jellemző kockázati kategóriákként kezelje, nem pedig e kampány igazolt megállapításaként. A szélesebb aggodalom az, hogy egy ellopott token további ellopott tokenekhez vezethet. Az egyik repóból begyűjtött titkok más szolgáltatásokat nyithatnak meg, így egy repó kompromittálódása személyes és szervezeti fiókokba terjedhet.
Ez egy szélesebb témába illeszkedik, amelyet korábban is tárgyaltunk: a rendszerek, amelyekben az embereknek meg kellene bízniuk, ellenük fordulnak. Áttekintésünk arról, hogy egy Pixel zero-click hiba és az MSP-k elleni ScreenConnect támadások ugyanazt a kellemetlen szálat osztotta, megmutatja, milyen gyakran a megbízható eszköz a gyenge pont.
Hogyan ellenőrizze, hogy érintettek voltak-e a repói
Nem tudjuk megmondani, hogy egy adott repó szerepel-e az érintett listán, és a rendelkezésre álló tudósítás nem tesz közzé ilyet. Még mindig kereshet maga is az illetéktelen módosítás jelei után:
- Tekintse át a workflow-fájlokat. Nyissa meg a
.github/workflowsmappát minden repóban, és keressen olyan fájlokat, amelyeket nem ismer fel, vagy olyan módosításokat, amelyeket nem ő végzett. - Ellenőrizze a commit- és pull request-előzményeket. Keressen a workflow-kat érintő friss commitokat vagy branch-eket, különösen ismeretlen fiókoktól vagy furcsa időpontokban.
- Vizsgálja meg az Actions futási naplóit. A váratlan futások, új triggerek vagy kimenő hálózati kéréseket végző lépések közelebbi vizsgálatot érdemelnek.
- Tekintse át biztonsági naplóját és az engedélyezett alkalmazásokat. A GitHub beállításaiban ellenőrizze, mely személyes hozzáférési tokenek, OAuth-alkalmazások és GitHub Apps rendelkeznek hozzáféréssel, és távolítson el mindent, amit nem használ.
- Feltételezze a kitettséget, ha bármit talál. Kezeljen minden titkot, amelyet az a workflow olvashatott, kompromittáltként, és cserélje le.
A GitHub megerősítése: tokenek, MFA és harmadik féltől származó Actions
Ezen lépések egyike sem különleges, de együtt csökkentik, hogy egy ellopott token mit tehet.
Forgassa és zsugorítsa a tokeneket. Visszavonja a régi személyes hozzáférési tokeneket, és adjon ki újakat a lehető legszűkebb hatókörrel és legrövidebb lejárattal, ami működik. A meghatározott repókra korlátozott finomszemcsés tokenek biztonságosabbak a széles hatókörűeknél.
Kapcsolja be a többfaktoros hitelesítést. Az MFA védi a fiókja bejelentkezését, bár érdemes emlékezni arra, hogy egy ellopott token teljesen megkerülheti a bejelentkezési lépést. Ezért a tokenhigiénia ugyanolyan fontos.
Korlátozza a workflow-engedélyeket. Állítsa a workflow alapértelmezett tokenjét csak olvashatóra, és csak ott adjon írási hozzáférést, ahol egy feladat valóban igényli. Igényeljen felülvizsgálatot a workflow-fájlok módosításainak egyesítése előtt, például branch-védelemmel és code owners-szel.
Ellenőrizze a harmadik féltől származó Actions-öket. Rögzítse az Actions-öket egy adott commit-hoz mozgatható tag helyett, és részesítse előnyben a megbízható karbantartóktól származókat. Tartsa távol a titkokat azoktól a feladatoktól, amelyeknek nincs rájuk szükségük.
Mit jelent ez Önnek
Ha még egy kis projektet is fenntart a GitHubon, a workflow-fájljai a támadási felület részét képezik. Egy ellopott token lehetővé teheti valakinek, hogy hozzáadjon egy workflow-t, amely csendesen olvassa a titkait, és lehet, hogy soha nem lát riasztást. Az egyéni fejlesztők, nyílt forráskódú karbantartók és az automatizált telepítéssel rendelkező vállalatok mind érintettek.
A jó hír az, hogy a védekezés az Ön ellenőrzése alatt áll, és kevés időbe kerül. Ez egyben egy visszatérő minta része is, amelyben a támadók azokat a fiókokat és eszközöket veszik célba, amelyekben az emberek már megbíznak. Az Incransom TrRAC Inc. elleni támadásról szóló tudósításunk más típusú incidens, de rávilágít arra, milyen gyorsan válhat az ellopott hozzáférés valódi kárrá.
Cselekvésre ösztönző tanulságok
- Forgassa a GitHub tokenjeit még ma, és töröljön minden olyat, amelyet már nem használ.
- Engedélyezze az MFA-t minden repó-hozzáféréssel rendelkező fiókon.
- Auditálja a
.github/workflowsfájljait olyan módosítások után kutatva, amelyeket nem ő végzett. - Állítsa a workflow-engedélyeket alapértelmezés szerint csak olvashatóra, és rögzítse a harmadik féltől származó Actions-öket.
- Ha bármi gyanúsat talál, cseréljen le minden titkot, amelyet az a workflow elérhetett.
A GitHub ellopott tokenjeiről és a WFX stealerre vonatkozó jelentések még fejlődnek, és a részletek változhatnak. Ne várjon a megerősítésre saját beállításai rendbetételéhez: forgassa a tokeneket, engedélyezze az MFA-t, és auditálja workflow-jait még ma.
