Een gemelde campagne rond gestolen GitHub-tokens en de WFX-stealer brengt ongeveer 66.000 repositories in gevaar, volgens berichtgeving van Cybernews. De aanvallers zouden gestolen access tokens hebben gebruikt om kwaadaardige workflowbestanden te plaatsen, waardoor een ontwikkelpijplijn werd omgevormd tot een manier om secrets te verzamelen. De beschikbare berichtgeving is beknopt, dus dit bericht houdt zich aan wat er is gesteld en richt zich op praktische stappen die ontwikkelaars nu kunnen nemen.

Hoe gestolen tokens de GitHub-workflowaanval mogelijk maakten

Volgens het rapport gebruikte de campagne gestolen tokens om "WFX stealer"-workflows toe te voegen aan ongeveer 66.000 GitHub-repositories. Een token is een credential waarmee een persoon of een applicatie namens een account kan handelen zonder een wachtwoord te typen. Als een aanvaller een geldig token met voldoende rechten bezit, beschouwt GitHub diens acties als legitiem.

Dat maakt workflows een aantrekkelijk doelwit. GitHub Actions-workflows zijn bestanden die in een repository zijn opgeslagen en automatisch worden uitgevoerd, vaak met toegang tot de secrets die een project gebruikt voor het bouwen, testen en implementeren van code. Een kwaadaardige workflow hoeft geen softwarebug te misbruiken. Het bestand hoeft alleen te worden gecommit door iemand die volgens GitHub geautoriseerd is, en vervolgens wordt het binnen de pijplijn uitgevoerd.

De samenvatting van de bron beschrijft niet hoe de tokens oorspronkelijk zijn gestolen, en wij gaan niet gissen. Wat voor lezers belangrijk is, is het patroon: de pijplijn zelf wordt het aflevermechanisme, en de credentials die deze ontgrendelen zijn de echte prijs.

Wat de WFX-stealer kan blootleggen vanuit ontwikkelaarsaccounts

De berichtgeving beschrijft de workflows als secret-stelend, en de gesuggereerde invalshoek merkt op dat CI/CD-pijplijnen een weg kunnen worden naar secrets en persoonlijke accounts van ontwikkelaars. In praktische termen kan een stealer die in een pijplijn draait, mogelijk alles bereiken wat die pijplijn kan bereiken. Typische voorbeelden van dergelijk materiaal zijn:

  • API-sleutels en cloudcredentials die als repository-secrets zijn opgeslagen
  • Deployment-tokens en credentials voor pakketregisters
  • Andere GitHub-tokens die beschikbaar zijn voor de workflow

De exacte gegevens die de WFX-stealer verzamelt, zijn niet bevestigd in de informatie die we hebben, dus behandel de bovenstaande lijst als risicocategorieën die gangbaar zijn voor pijplijn-secrets, niet als geverifieerde bevindingen over deze campagne. De bredere zorg is dat één gestolen token kan leiden tot meer gestolen tokens. Secrets die uit één repository worden geoogst, kunnen andere diensten ontgrendelen, en zo kan een compromittering van een repository zich verspreiden naar persoonlijke en organisatorische accounts.

Dit past bij een breder thema dat we eerder hebben behandeld: systemen die mensen worden geacht te vertrouwen, worden tegen hen gekeerd. Onze blik op hoe een Pixel zero-click-fout en ScreenConnect-aanvallen op MSP's diezelfde ongemakkelijke rode draad deelden, laat zien hoe vaak het vertrouwde hulpmiddel het zwakke punt is.

Hoe u kunt controleren of uw repositories zijn getroffen

Wij kunnen u niet vertellen of een specifieke repository op de getroffen lijst staat, en de beschikbare berichtgeving publiceert er geen. U kunt zelf nog steeds zoeken naar tekenen van manipulatie:

  1. Controleer workflowbestanden. Open de map .github/workflows in elke repository en zoek naar bestanden die u niet herkent, of wijzigingen die u niet hebt aangebracht.
  2. Controleer de commit- en pullrequestgeschiedenis. Zoek naar recente commits of branches die workflows raken, vooral van onbekende accounts of op vreemde tijdstippen.
  3. Inspecteer Actions-runlogs. Onverwachte runs, nieuwe triggers of stappen die uitgaande netwerkverzoeken doen, verdienen nadere aandacht.
  4. Controleer uw beveiligingslog en geautoriseerde apps. Controleer in de GitHub-instellingen welke personal access tokens, OAuth-apps en GitHub Apps toegang hebben, en verwijder alles wat u niet gebruikt.
  5. Ga uit van blootstelling als u iets vindt. Behandel elk secret dat die workflow kon lezen als gecompromitteerd en vervang het.

GitHub harder maken: tokens, MFA en third-party Actions

Geen van deze stappen is exotisch, maar samen beperken ze wat een gestolen token kan doen.

Roteer en verklein tokens. Trek oude personal access tokens in en geef nieuwe uit met de nauwste scope en kortste geldigheidsduur die werkt. Fijnmazige tokens die tot specifieke repositories beperkt zijn, zijn veiliger dan brede tokens.

Schakel multi-factorauthenticatie in. MFA beschermt uw accountlogin, maar bedenk dat een gestolen token de loginstap volledig kan omzeilen. Daarom is tokenhygiëne net zo belangrijk.

Beperk workflowrechten. Stel het standaard workflowtoken in op alleen-lezen en verleen schrijftoegang alleen waar een job die echt nodig heeft. Vereis beoordeling voordat wijzigingen aan workflowbestanden worden samengevoegd, bijvoorbeeld via branch protection en code owners.

Controleer third-party Actions. Pin Actions aan een specifieke commit in plaats van een verplaatsbare tag, en geef de voorkeur aan Actions van maintainers die u vertrouwt. Houd secrets buiten jobs die ze niet nodig hebben.

Wat dit voor u betekent

Als u zelfs maar een klein project op GitHub onderhoudt, maken uw workflowbestanden deel uit van uw aanvalsoppervlak. Een gestolen token kan iemand in staat stellen een workflow toe te voegen die stilletjes uw secrets leest, en mogelijk ziet u nooit een waarschuwing. Individuele ontwikkelaars, open source-maintainers en bedrijven met geautomatiseerde deployments vallen allemaal binnen het bereik.

Het goede nieuws is dat de verdedigingsmaatregelen binnen uw controle liggen en weinig tijd kosten. Dit is ook onderdeel van een terugkerend patroon waarin aanvallers zich richten op de accounts en hulpmiddelen die mensen al vertrouwen. Onze berichtgeving over Incransom die een aanval op TrRAC Inc. opeist is een ander type incident, maar onderstreept hoe snel gestolen toegang echte schade kan worden.

Concrete aandachtspunten

  • Roteer vandaag uw GitHub-tokens en verwijder alle tokens die u niet meer gebruikt.
  • Schakel MFA in op elk account met toegang tot repositories.
  • Controleer uw .github/workflows-bestanden op wijzigingen die u niet hebt aangebracht.
  • Stel workflowrechten standaard in op alleen-lezen en pin third-party Actions.
  • Als u iets verdachts vindt, vervang dan elk secret dat die workflow kon bereiken.

De berichten over gestolen GitHub-tokens en de WFX-stealer zijn nog in ontwikkeling en details kunnen veranderen. Wacht niet op bevestiging om uw eigen omgeving op te ruimen: roteer tokens, schakel MFA in en controleer vandaag uw workflows.