Secondo la copertura di Cybernews, una campagna segnalata basata su token rubati di GitHub e sul WFX Stealer mette a rischio circa 66.000 repository. Gli attaccanti avrebbero utilizzato token di accesso rubati per inserire file di workflow malevoli, trasformando una pipeline di sviluppo in un mezzo per raccogliere segreti. Le informazioni disponibili sono sintetiche, quindi questo articolo si attiene a quanto è stato dichiarato e si concentra sulle misure pratiche che gli sviluppatori possono adottare subito.

Come i token rubati hanno permesso l'attacco ai workflow di GitHub

Secondo il rapporto, la campagna ha utilizzato token rubati per aggiungere workflow "WFX stealer" a circa 66.000 repository GitHub. Un token è una credenziale che consente a una persona o a un'applicazione di agire su un account senza digitare una password. Se un attaccante possiede un token valido con permessi sufficienti, GitHub considera le sue azioni legittime.

È questo che rende i workflow un obiettivo attraente. I workflow di GitHub Actions sono file memorizzati in un repository che vengono eseguiti automaticamente, spesso con accesso ai segreti che un progetto utilizza per compilare, testare e distribuire il codice. Un workflow malevolo non ha bisogno di sfruttare una vulnerabilità software. Deve solo essere committato da qualcuno che GitHub ritiene autorizzato, e poi viene eseguito all'interno della pipeline.

Il riepilogo della fonte non dettaglia come i token siano stati rubati in origine, e non intendiamo fare supposizioni. Ciò che conta per i lettori è il pattern: la pipeline stessa diventa il meccanismo di distribuzione, e le credenziali che la sbloccano sono il vero premio.

Cosa può esporre il WFX Stealer dagli account degli sviluppatori

Il rapporto descrive i workflow come finalizzati al furto di segreti, e l'angolazione suggerita sottolinea che le pipeline CI/CD possono diventare un percorso verso i segreti e gli account personali degli sviluppatori. In termini pratici, uno stealer in esecuzione in una pipeline può essere posizionato per raggiungere tutto ciò che quella pipeline può raggiungere. Esempi tipici di tali materiali includono:

  • Chiavi API e credenziali cloud memorizzate come segreti del repository
  • Token di distribuzione e credenziali dei registri di pacchetti
  • Altri token GitHub disponibili al workflow

I dati esatti raccolti dal WFX Stealer non sono stati confermati nelle informazioni in nostro possesso, quindi considerate l'elenco sopra come categorie di rischio comuni ai segreti delle pipeline, non come risultati verificati su questa campagna. La preoccupazione più ampia è che un token rubato possa portare ad altri token rubati. I segreti raccolti da un repository possono sbloccare altri servizi, ed è così che la compromissione di un repository può diffondersi in account personali e organizzativi.

Questo si inserisce in un tema più ampio che abbiamo già trattato: sistemi di cui le persone dovrebbero fidarsi che vengono rivolti contro di loro. La nostra analisi su una vulnerabilità zero-click di Pixel e gli attacchi ScreenConnect agli MSP condivideva lo stesso filo conduttore scomodo e mostra quanto spesso lo strumento affidabile sia il punto debole.

Come verificare se i tuoi repository sono stati colpiti

Non possiamo dirti se un repository specifico sia nella lista degli interessati, e il rapporto disponibile non ne pubblica una. Puoi comunque cercare da solo segni di manomissione:

  1. Esamina i file di workflow. Apri la cartella .github/workflows in ogni repository e cerca file che non riconosci, o modifiche che non hai fatto.
  2. Controlla la cronologia dei commit e delle pull request. Cerca commit o branch recenti che toccano i workflow, soprattutto da account sconosciuti o in orari insoliti.
  3. Ispeziona i log di esecuzione di Actions. Esecuzioni inaspettate, nuovi trigger o passaggi che effettuano richieste di rete in uscita meritano un'analisi più attenta.
  4. Esamina il registro di sicurezza e le app autorizzate. Nelle impostazioni di GitHub, controlla quali token di accesso personale, app OAuth e GitHub Apps hanno accesso, e rimuovi tutto ciò che non utilizzi.
  5. Presumi l'esposizione se trovi qualcosa. Tratta ogni segreto che quel workflow poteva leggere come compromesso e sostituiscilo.

Rafforzare GitHub: token, MFA e Actions di terze parti

Nessuno di questi passaggi è esotico, ma insieme riducono ciò che un token rubato può fare.

Ruota e riduci i token. Revoca i vecchi token di accesso personale ed emettine di nuovi con l'ambito più ristretto e la scadenza più breve che funzionano. I token a grana fine limitati a repository specifici sono più sicuri di quelli ampi.

Attiva l'autenticazione a più fattori. L'MFA protegge l'accesso al tuo account, anche se vale la pena ricordare che un token rubato può aggirare del tutto il passaggio di login. Ecco perché l'igiene dei token è altrettanto importante.

Limita i permessi dei workflow. Imposta il token predefinito dei workflow in sola lettura e concedi l'accesso in scrittura solo dove un job ne ha davvero bisogno. Richiedi una revisione prima che le modifiche ai file di workflow vengano unite, ad esempio tramite la protezione dei branch e i code owner.

Verifica le Actions di terze parti. Fissa le Actions a un commit specifico invece di un tag mobile, e preferisci quelle di maintainer di cui ti fidi. Tieni i segreti fuori dai job che non ne hanno bisogno.

Cosa significa per te

Se gestisci anche solo un piccolo progetto su GitHub, i tuoi file di workflow fanno parte della tua superficie di attacco. Un token rubato può permettere a qualcuno di aggiungere un workflow che legge silenziosamente i tuoi segreti, e potresti non ricevere mai un avviso. Sviluppatori individuali, maintainer di open source e aziende con distribuzioni automatizzate sono tutti coinvolti.

La buona notizia è che le difese sono sotto il tuo controllo e richiedono poco tempo. Questo fa anche parte di un pattern ricorrente in cui gli attaccanti colpiscono gli account e gli strumenti di cui le persone si fidano già. La nostra copertura su Incransom che rivendica un attacco a TrRAC Inc. è un tipo diverso di incidente, ma sottolinea quanto rapidamente un accesso rubato possa trasformarsi in un danno reale.

Punti di azione concreti

  • Ruota oggi i tuoi token GitHub ed elimina quelli che non usi più.
  • Abilita l'MFA su ogni account con accesso ai repository.
  • Controlla i tuoi file .github/workflows per modifiche che non hai fatto.
  • Imposta i permessi dei workflow in sola lettura per impostazione predefinita e fissa le Actions di terze parti.
  • Se trovi qualcosa di sospetto, sostituisci ogni segreto a cui quel workflow poteva accedere.

I rapporti sui token rubati di GitHub e sul WFX Stealer sono ancora in evoluzione e i dettagli potrebbero cambiare. Non aspettare la conferma per mettere in ordine la tua configurazione: ruota i token, abilita l'MFA e controlla i tuoi workflow oggi stesso.