Uma campanha relatada, baseada em tokens roubados do GitHub e no WFX stealer, está colocando cerca de 66.000 repositórios em risco, de acordo com a cobertura do Cybernews. Os atacantes teriam usado tokens de acesso roubados para plantar arquivos de workflow maliciosos, transformando um pipeline de desenvolvimento em uma forma de coletar segredos. A reportagem disponível é breve, então este post se atém ao que foi declarado e foca em passos práticos que desenvolvedores podem tomar agora.

Como tokens roubados possibilitaram o ataque ao workflow do GitHub

De acordo com o relatório, a campanha usou tokens roubados para adicionar workflows do "WFX stealer" a cerca de 66.000 repositórios do GitHub. Um token é uma credencial que permite a uma pessoa ou aplicação agir em uma conta sem digitar uma senha. Se um atacante possui um token válido com permissões suficientes, o GitHub trata suas ações como legítimas.

É isso que torna os workflows um alvo atraente. Os workflows do GitHub Actions são arquivos armazenados em um repositório que são executados automaticamente, muitas vezes com acesso aos segredos que um projeto usa para compilar, testar e implantar código. Um workflow malicioso não precisa explorar uma falha de software. Ele só precisa ser commitado por alguém que o GitHub acredita estar autorizado, e então é executado dentro do pipeline.

O resumo da fonte não detalha como os tokens foram originalmente roubados, e não vamos adivinhar. O que importa para os leitores é o padrão: o próprio pipeline se torna o mecanismo de entrega, e as credenciais que o desbloqueiam são o verdadeiro prêmio.

O que o WFX stealer pode expor de contas de desenvolvedores

A reportagem descreve os workflows como roubadores de segredos, e o ângulo sugerido observa que pipelines de CI/CD podem se tornar um caminho para os segredos e contas pessoais dos desenvolvedores. Em termos práticos, um stealer executado em um pipeline pode estar posicionado para alcançar tudo o que aquele pipeline alcança. Exemplos típicos desse tipo de material incluem:

  • Chaves de API e credenciais de nuvem armazenadas como segredos do repositório
  • Tokens de implantação e credenciais de registro de pacotes
  • Outros tokens do GitHub disponíveis para o workflow

Os dados exatos que o WFX stealer coleta não foram confirmados nas informações que temos, então trate a lista acima como categorias de risco comuns a segredos de pipeline, não como descobertas verificadas sobre esta campanha. A preocupação mais ampla é que um token roubado pode levar a mais tokens roubados. Segredos coletados de um repositório podem desbloquear outros serviços, e é assim que o comprometimento de um repositório pode se espalhar para contas pessoais e organizacionais.

Isso se encaixa em um tema mais amplo que já cobrimos antes: sistemas em que as pessoas deveriam confiar sendo usados contra elas. Nossa análise sobre uma falha zero-click no Pixel e ataques ScreenConnect contra MSPs compartilhou esse mesmo fio desconfortável e mostra como frequentemente a ferramenta confiável é o ponto fraco.

Como verificar se seus repositórios foram afetados

Não podemos dizer se um repositório específico está na lista de afetados, e a reportagem disponível não publica uma. Você ainda pode procurar sinais de adulteração por conta própria:

  1. Revise os arquivos de workflow. Abra a pasta .github/workflows em cada repositório e procure por arquivos que você não reconhece, ou edições que você não fez.
  2. Verifique o histórico de commits e pull requests. Procure por commits ou branches recentes que toquem em workflows, especialmente de contas desconhecidas ou em horários estranhos.
  3. Inspecione os logs de execução do Actions. Execuções inesperadas, novos gatilhos ou etapas que fazem requisições de rede de saída merecem uma análise mais detalhada.
  4. Revise seu log de segurança e aplicativos autorizados. Nas configurações do GitHub, verifique quais tokens de acesso pessoal, aplicativos OAuth e GitHub Apps têm acesso, e remova qualquer coisa que você não usa.
  5. Assuma exposição se encontrar qualquer coisa. Trate cada segredo que aquele workflow poderia ler como comprometido e substitua-o.

Fortalecendo o GitHub: tokens, MFA e Actions de terceiros

Nenhum desses passos é exótico, mas juntos eles reduzem o que um token roubado pode fazer.

Rotacione e reduza tokens. Revogue tokens de acesso pessoal antigos e emita novos com o escopo mais restrito e a expiração mais curta que funcionar. Tokens refinados limitados a repositórios específicos são mais seguros do que tokens amplos.

Ative a autenticação multifator. A MFA protege o login da sua conta, embora valha lembrar que um token roubado pode contornar completamente a etapa de login. É por isso que a higiene de tokens importa igualmente.

Limite as permissões de workflow. Defina o token padrão do workflow como somente leitura e conceda acesso de escrita apenas onde um job realmente precisa. Exija revisão antes que alterações em arquivos de workflow sejam mescladas, por exemplo por meio de proteção de branch e code owners.

Avalie Actions de terceiros. Fixe Actions em um commit específico em vez de uma tag móvel, e prefira as de mantenedores em quem você confia. Mantenha segredos fora de jobs que não precisam deles.

O que isso significa para você

Se você mantém até mesmo um pequeno projeto no GitHub, seus arquivos de workflow fazem parte da sua superfície de ataque. Um token roubado pode permitir que alguém adicione um workflow que silenciosamente lê seus segredos, e você pode nunca ver um alerta. Desenvolvedores individuais, mantenedores de código aberto e empresas com implantações automatizadas estão todos no escopo.

A boa notícia é que as defesas estão sob seu controle e custam pouco tempo. Isso também faz parte de um padrão recorrente em que atacantes vão atrás das contas e ferramentas em que as pessoas já confiam. Nossa cobertura sobre o Incransom reivindicando um ataque à TrRAC Inc. é um tipo diferente de incidente, mas ressalta quão rapidamente o acesso roubado pode se transformar em danos reais.

Conclusões acionáveis

  • Rotacione seus tokens do GitHub hoje e exclua qualquer um que você não use mais.
  • Ative a MFA em todas as contas com acesso a repositórios.
  • Audite seus arquivos .github/workflows em busca de alterações que você não fez.
  • Defina as permissões de workflow como somente leitura por padrão e fixe Actions de terceiros.
  • Se encontrar algo suspeito, substitua cada segredo que aquele workflow poderia acessar.

Os relatos sobre tokens roubados do GitHub e o WFX stealer ainda estão em desenvolvimento, e os detalhes podem mudar. Não espere por confirmação para organizar sua própria configuração: rotacione tokens, ative a MFA e audite seus workflows hoje.