O campanie raportată, construită în jurul tokenurilor GitHub furate și al stealerului WFX, pune în pericol aproximativ 66.000 de repository-uri, potrivit relatării de la Cybernews. Atacatorii ar fi folosit tokenuri de acces furate pentru a planta fișiere workflow malițioase, transformând o conductă de dezvoltare într-o modalitate de colectare a secretelor. Relatarea disponibilă este scurtă, așa că această postare se limitează la ceea ce a fost declarat și se concentrează pe pașii practici pe care dezvoltatorii îi pot face acum.

Cum au permis tokenurile furate atacul asupra workflow-urilor GitHub

Potrivit raportului, campania a folosit tokenuri furate pentru a adăuga workflow-uri „WFX stealer" la aproximativ 66.000 de repository-uri GitHub. Un token este o acreditare care permite unei persoane sau unei aplicații să acționeze asupra unui cont fără a tasta o parolă. Dacă un atacator deține un token valid cu suficiente permisiuni, GitHub tratează acțiunile sale ca legitime.

Asta face ca workflow-urile să fie o țintă atractivă. Workflow-urile GitHub Actions sunt fișiere stocate într-un repository care rulează automat, adesea cu acces la secretele pe care un proiect le folosește pentru construirea, testarea și implementarea codului. Un workflow malițios nu trebuie să exploateze o eroare de software. Trebuie doar să fie commitat de cineva pe care GitHub îl consideră autorizat, iar apoi rulează în interiorul conductei.

Rezumatul sursă nu detaliază cum au fost furate inițial tokenurile și nu vom face presupuneri. Ceea ce contează pentru cititori este tiparul: conducta în sine devine mecanismul de livrare, iar acreditările care o deblochează sunt adevăratul premiu.

Ce poate expune WFX Stealer din conturile dezvoltatorilor

Relatarea descrie workflow-urile ca fiind furătoare de secrete, iar unghiul sugerat notează că conductele CI/CD pot deveni o cale către secretele și conturile personale ale dezvoltatorilor. În termeni practici, un stealer care rulează într-o conductă poate fi poziționat să atingă tot ceea ce acea conductă poate atinge. Exemple tipice de astfel de materiale includ:

  • Chei API și acreditări cloud stocate ca secrete ale repository-ului
  • Tokenuri de implementare și acreditări ale registrului de pachete
  • Alte tokenuri GitHub disponibile pentru workflow

Datele exacte pe care le colectează WFX Stealer nu au fost confirmate în informațiile pe care le avem, așa că tratați lista de mai sus ca pe niște categorii de risc comune pentru secretele conductelor, nu ca pe niște constatări verificate despre această campanie. Îngrijorarea mai amplă este că un singur token furat poate duce la mai multe tokenuri furate. Secretele recoltate dintr-un repository pot debloca alte servicii, ceea ce face ca o compromitere a unui repository să se poată răspândi în conturi personale și organizaționale.

Aceasta se încadrează într-o temă mai amplă pe care am abordat-o anterior: sistemele în care oamenii ar trebui să aibă încredere fiind întoarse împotriva lor. Analiza noastră despre cum o vulnerabilitate zero-click Pixel și atacurile ScreenConnect asupra MSP-urilor au împărtășit același fir inconfortabil arată cât de des instrumentul de încredere este punctul slab.

Cum să verificați dacă repository-urile dumneavoastră au fost afectate

Nu vă putem spune dacă un anumit repository se află pe lista afectată, iar relatarea disponibilă nu publică una. Puteți totuși să căutați singuri semne de manipulare:

  1. Examinați fișierele workflow. Deschideți folderul .github/workflows din fiecare repository și căutați fișiere pe care nu le recunoașteți sau modificări pe care nu le-ați făcut.
  2. Verificați istoricul commit-urilor și al pull request-urilor. Căutați commit-uri sau branch-uri recente care ating workflow-urile, în special de la conturi necunoscute sau la ore neobișnuite.
  3. Inspectați jurnalele rulărilor Actions. Rulările neașteptate, declanșatoarele noi sau pașii care fac cereri de rețea către exterior merită o analiză mai atentă.
  4. Examinați jurnalul de securitate și aplicațiile autorizate. În setările GitHub, verificați ce tokenuri de acces personale, aplicații OAuth și GitHub Apps au acces și eliminați tot ce nu folosiți.
  5. Presupuneți expunerea dacă găsiți ceva. Tratați fiecare secret pe care acel workflow îl putea citi ca fiind compromis și înlocuiți-l.

Consolidarea securității GitHub: tokenuri, MFA și Actions terțe

Niciunul dintre acești pași nu este excentric, dar împreună reduc ceea ce poate face un token furat.

Rotiți și restrângeți tokenurile. Revocați tokenurile de acces personale vechi și emiteți altele noi cu cel mai îngust domeniu de aplicare și cea mai scurtă expirare care funcționează. Tokenurile cu granulație fină limitate la anumite repository-uri sunt mai sigure decât cele largi.

Activați autentificarea multi-factor. MFA protejează autentificarea în cont, deși merită să rețineți că un token furat poate ocoli complet pasul de autentificare. De aceea igiena tokenurilor contează la fel de mult.

Limitați permisiunile workflow-urilor. Setați tokenul implicit al workflow-ului ca fiind doar-citire și acordați acces de scriere doar acolo unde o sarcină are cu adevărat nevoie. Solicitați revizuire înainte ca modificările fișierelor workflow să fie fuzionate, de exemplu prin protecția branch-urilor și code owners.

Verificați Actions terțe. Fixați Actions la un commit specific în loc de un tag mobil și preferați-le pe cele de la mentori în care aveți încredere. Țineți secretele departe de sarcinile care nu au nevoie de ele.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă întrețineți chiar și un proiect mic pe GitHub, fișierele dumneavoastră workflow fac parte din suprafața de atac. Un token furat poate permite cuiva să adauge un workflow care vă citește în tăcere secretele și este posibil să nu vedeți niciodată o alertă. Dezvoltatorii individuali, mentori de open source și companiile cu implementări automatizate sunt toate vizate.

Vestea bună este că apărările sunt în controlul dumneavoastră și costă puțin timp. Acesta este, de asemenea, parte a unui tipar recurent în care atacatorii vizează conturile și instrumentele în care oamenii au deja încredere. Relatarea noastră despre Incransom revendicând un atac asupra TrRAC Inc. este un tip diferit de incident, dar subliniază cât de repede accesul furat se poate transforma în daune reale.

Concluzii acționabile

  • Rotiți-vă tokenurile GitHub astăzi și ștergeți orice token pe care nu îl mai folosiți.
  • Activați MFA pe fiecare cont cu acces la repository-uri.
  • Auditați fișierele .github/workflows pentru modificări pe care nu le-ați făcut.
  • Setați permisiunile workflow-urilor la doar-citire în mod implicit și fixați Actions terțe.
  • Dacă găsiți ceva suspect, înlocuiți fiecare secret la care acel workflow putea avea acces.

Rapoartele despre tokenurile GitHub furate și WFX Stealer sunt încă în evoluție, iar detaliile se pot schimba. Nu așteptați confirmarea pentru a vă curăța propria configurare: rotiți tokenurile, activați MFA și auditați-vă workflow-urile astăzi.