En rapporterad kampanj uppbyggd kring stulna GitHub-token och WFX-stealern utsätter ungefär 66 000 repositorier för risk, enligt rapportering från Cybernews. Angriparna ska ha använt stulna åtkomsttoken för att plantera skadliga workflow-filer, vilket förvandlar en utvecklingspipeline till ett sätt att samla in hemligheter. Den tillgängliga rapporteringen är kortfattad, så det här inlägget håller sig till det som har sagts och fokuserar på praktiska åtgärder som utvecklare kan vidta nu.

Hur stulna token möjliggjorde GitHub-workflow-attacken

Enligt rapporten använde kampanjen stulna token för att lägga till "WFX stealer"-workflows i omkring 66 000 GitHub-repositorier. En token är en autentiseringsuppgift som låter en person eller ett program agera på ett konto utan att skriva ett lösenord. Om en angripare har en giltig token med tillräckliga behörigheter behandlar GitHub deras åtgärder som legitima.

Det är det som gör workflows till ett attraktivt mål. GitHub Actions-workflows är filer som lagras i ett repositorium och körs automatiskt, ofta med åtkomst till de hemligheter ett projekt använder för att bygga, testa och distribuera kod. En skadlig workflow behöver inte utnyttja en mjukvarubugg. Den behöver bara checkas in av någon som GitHub tror är behörig, och sedan körs den inuti pipelinen.

Källsammanfattningen beskriver inte hur tokens ursprungligen stals, och vi tänker inte gissa. Det som spelar roll för läsarna är mönstret: pipelinen i sig blir leveransmekanismen, och autentiseringsuppgifterna som låser upp den är det egentliga bytet.

Vad WFX-stealern kan exponera från utvecklarkonton

Rapporteringen beskriver arbetsflödena som hemlighetsstjälande, och den föreslagna vinkeln noterar att CI/CD-pipelines kan bli en väg till utvecklares hemligheter och personliga konton. I praktiska termer kan en stealer som körs i en pipeline vara positionerad att nå allt som pipelinen kan nå. Typiska exempel på sådant material inkluderar:

  • API-nycklar och molnautentiseringsuppgifter lagrade som repositoriehemligheter
  • Distributions-token och autentiseringsuppgifter för paketregister
  • Andra GitHub-token tillgängliga för workflowen

De exakta data som WFX-stealern samlar in har inte bekräftats i den information vi har, så betrakta listan ovan som riskkategorier som är vanliga för pipeline-hemligheter, inte som verifierade fynd om den här kampanjen. Den bredare oron är att en stulen token kan leda till fler stulna token. Hemligheter som skördats från ett repositorium kan låsa upp andra tjänster, vilket är hur en repositoriekompromiss kan spridas till personliga och organisatoriska konton.

Detta passar in i ett bredare tema som vi har täckt tidigare: system som människor förväntas lita på vänds mot dem. Vår genomgång av hur en Pixel zero-click-bugg och ScreenConnect-attacker mot MSP:er delade samma obehagliga tråd visar hur ofta det betrodda verktyget är den svaga punkten.

Hur du kontrollerar om dina repositorier påverkades

Vi kan inte säga om ett specifikt repositorium finns på den drabbade listan, och den tillgängliga rapporteringen publicerar ingen sådan. Du kan fortfarande leta efter tecken på manipulation själv:

  1. Granska workflow-filer. Öppna mappen .github/workflows i varje repositorium och leta efter filer du inte känner igen, eller ändringar du inte har gjort.
  2. Kontrollera commit- och pull request-historik. Leta efter nyliga commits eller grenar som rör workflows, särskilt från obekanta konton eller vid udda tider.
  3. Inspektera Actions-körningsloggar. Oväntade körningar, nya triggers eller steg som gör utgående nätverksförfrågningar förtjänar en närmare titt.
  4. Granska din säkerhetslogg och auktoriserade appar. I GitHub-inställningarna, kontrollera vilka personliga åtkomsttoken, OAuth-appar och GitHub Apps som har åtkomst, och ta bort allt du inte använder.
  5. Anta exponering om du hittar något. Behandla varje hemlighet som workflowen kunde läsa som komprometterad och byt ut den.

Härdning av GitHub: token, MFA och tredjeparts-Actions

Inget av dessa steg är exotiskt, men tillsammans minskar de vad en stulen token kan göra.

Rotera och minska token. Återkalla gamla personliga åtkomsttoken och utfärda nya med den snävaste omfattningen och kortaste giltighetstiden som fungerar. Finkorniga token begränsade till specifika repositorier är säkrare än breda.

Aktivera multifaktorautentisering. MFA skyddar din kontoinloggning, men det är värt att komma ihåg att en stulen token kan kringgå inloggningssteget helt. Det är därför tokenhygien är lika viktig.

Begränsa workflow-behörigheter. Ställ in standardworkflow-token till skrivskyddad och bevilja skrivåtkomst endast där ett jobb verkligen behöver det. Kräv granskning innan ändringar i workflow-filer slås samman, till exempel genom branch-skydd och code owners.

Granska tredjeparts-Actions. Fäst Actions till en specifik commit istället för en flyttbar tagg, och föredra de från underhållare du litar på. Håll hemligheter borta från jobb som inte behöver dem.

Vad detta innebär för dig

Om du underhåller även ett litet projekt på GitHub är dina workflow-filer en del av din attackyta. En stulen token kan låta någon lägga till en workflow som tyst läser dina hemligheter, och du kanske aldrig ser en varning. Enskilda utvecklare, underhållare av öppen källkod och företag med automatiserade distributioner ingår alla i omfattningen.

Det goda nyheterna är att försvaret ligger inom din kontroll och kostar lite tid. Detta är också en del av ett återkommande mönster där angripare går efter de konton och verktyg som människor redan litar på. Vår rapportering om Incransom som hävdar en attack mot TrRAC Inc. är en annan typ av incident, men den understryker hur snabbt stulen åtkomst kan förvandlas till verklig skada.

Åtgärdsbara slutsatser

  • Rotera dina GitHub-token idag och radera alla du inte längre använder.
  • Aktivera MFA på varje konto med repositorieåtkomst.
  • Granska dina .github/workflows-filer för ändringar du inte har gjort.
  • Ställ in workflow-behörigheter till skrivskyddat som standard och fäst tredjeparts-Actions.
  • Om du hittar något misstänkt, byt ut varje hemlighet som workflowen kunde komma åt.

Rapporterna om stulna GitHub-token och WFX-stealern utvecklas fortfarande, och detaljer kan ändras. Vänta inte på bekräftelse för att städa upp din egen setup: rotera token, aktivera MFA och granska dina workflows idag.