Cybernews'in haberine göre, GitHub çalınan token'ları ve WFX stealer etrafında şekillenen bir kampanya yaklaşık 66.000 depoyu riske atıyor. İddiaya göre saldırganlar, kötü amaçlı workflow dosyaları yerleştirmek için çalınan erişim token'larını kullandı ve bir geliştirme hattını secret toplama aracına dönüştürdü. Mevcut raporlama kısa olduğundan bu yazı yalnızca belirtilenlerle sınırlı kalıyor ve geliştiricilerin şimdi atabileceği pratik adımlara odaklanıyor.

Çalınan token'lar GitHub workflow saldırısını nasıl mümkün kıldı

Rapora göre kampanya, yaklaşık 66.000 GitHub deposuna "WFX stealer" workflow'ları eklemek için çalınan token'ları kullandı. Token, bir kişinin veya uygulamanın parola yazmadan bir hesap adına işlem yapmasını sağlayan bir kimlik bilgisidir. Bir saldırgan yeterli izinlere sahip geçerli bir token ele geçirirse GitHub onların eylemlerini meşru kabul eder.

Workflow'ları bu kadar cazip bir hedef yapan da budur. GitHub Actions workflow'ları, bir depoda saklanan ve otomatik olarak çalışan dosyalardır; çoğu zaman bir projenin kod derleme, test etme ve dağıtma için kullandığı secret'lara erişime sahiptir. Kötü amaçlı bir workflow'un bir yazılım açığını istismar etmesi gerekmez. Yalnızca GitHub'ın yetkili olduğuna inandığı biri tarafından commit edilmesi yeterlidir ve ardından pipeline içinde çalışır.

Kaynak özeti, token'ların başlangıçta nasıl çalındığına dair ayrıntı vermiyor ve biz de tahmin yürütmeyeceğiz. Okuyucular için önemli olan örüntüdür: pipeline'ın kendisi dağıtım mekanizması haline gelir ve onu açan kimlik bilgileri asıl ödüldür.

WFX stealer geliştirici hesaplarından neleri açığa çıkarabilir

Raporlama, workflow'ları secret çalan olarak tanımlıyor ve öne sürülen bakış açısı, CI/CD pipeline'larının geliştiricilerin secret'larına ve kişisel hesaplarına giden bir yol haline gelebileceğini belirtiyor. Pratik anlamda, bir pipeline içinde çalışan bir stealer, o pipeline'ın erişebildiği her şeye erişebilecek konumda olabilir. Bu tür materyallerin tipik örnekleri şunlardır:

  • Depo secret'ları olarak saklanan API anahtarları ve bulut kimlik bilgileri
  • Dağıtım token'ları ve paket kayıt defteri kimlik bilgileri
  • Workflow'un erişebildiği diğer GitHub token'ları

WFX stealer'ın tam olarak hangi verileri topladığı elimizdeki bilgilerde doğrulanmadı; bu nedenle yukarıdaki listeyi pipeline secret'larına özgü risk kategorileri olarak değerlendirin, bu kampanyaya dair doğrulanmış bulgular olarak değil. Daha geniş endişe, çalınan tek bir token'ın daha fazla token'ın çalınmasına yol açabilmesidir. Bir depodan toplanan secret'lar başka hizmetlerin kilidini açabilir; bir depo ihlalinin kişisel ve kurumsal hesaplara yayılması da böyle gerçekleşir.

Bu, daha önce ele aldığımız daha geniş bir temaya uyuyor: insanların güvenmesi gereken sistemlerin onlara karşı kullanılması. Bir Pixel zero-click açığı ve MSP'lere yönelik ScreenConnect saldırıları hakkındaki incelememiz de aynı rahatsız edici bağlantıyı paylaşıyor ve güvenilen aracın ne kadar sık zayıf nokta olduğunu gösteriyor.

Depolarınızın etkilenip etkilenmediğini nasıl kontrol edersiniz

Belirli bir deponun etkilenenler listesinde olup olmadığını size söyleyemeyiz ve mevcut raporlama böyle bir liste yayımlamıyor. Yine de kurcalama belirtilerini kendiniz arayabilirsiniz:

  1. Workflow dosyalarını inceleyin. Her depodaki .github/workflows klasörünü açın ve tanımadığınız dosyaları veya sizin yapmadığınız düzenlemeleri arayın.
  2. Commit ve pull request geçmişini kontrol edin. Özellikle tanımadığınız hesaplardan veya tuhaf zamanlarda workflow'lara dokunan son commit'leri veya branch'leri arayın.
  3. Actions çalışma günlüklerini inceleyin. Beklenmeyen çalışmalar, yeni tetikleyiciler veya dışa doğru ağ istekleri yapan adımlar daha yakından incelenmeyi hak eder.
  4. Güvenlik günlüğünüzü ve yetkili uygulamaları gözden geçirin. GitHub ayarlarında hangi kişisel erişim token'larının, OAuth uygulamalarının ve GitHub Apps'in erişimi olduğunu kontrol edin ve kullanmadıklarınızı kaldırın.
  5. Bir şey bulursanız maruz kalmayı varsayın. O workflow'un okuyabildiği her secret'ı ele geçirilmiş kabul edin ve değiştirin.

GitHub'ı sağlamlaştırma: token'lar, MFA ve üçüncü taraf Actions

Bu adımların hiçbiri sıra dışı değil, ancak birlikte çalınan bir token'ın yapabileceklerini azaltırlar.

Token'ları döndürün ve küçültün. Eski kişisel erişim token'larını iptal edin ve işe yarayan en dar kapsam ve en kısa süreyle yenilerini verin. Belirli depolarla sınırlı ince taneli token'lar, geniş kapsamlı olanlardan daha güvenlidir.

Çok faktörlü kimlik doğrulamayı açın. MFA hesap girişinizi korur, ancak çalınan bir token'ın giriş adımını tamamen atlayabileceğini hatırlamakta fayda var. Bu yüzden token hijyeni de en az onun kadar önemlidir.

Workflow izinlerini sınırlayın. Varsayılan workflow token'ını salt okunur yapın ve yazma erişimini yalnızca bir işin gerçekten ihtiyaç duyduğu yerde verin. Workflow dosyalarındaki değişiklikler birleştirilmeden önce inceleme isteyin; örneğin branch koruması ve code owners aracılığıyla.

Üçüncü taraf Actions'ı denetleyin. Actions'ı taşınabilir bir etiket yerine belirli bir commit'e sabitleyin ve güvendiğiniz bakımcılardan gelenleri tercih edin. Secret'ları ihtiyaç duymayan işlerden uzak tutun.

Bu Sizin İçin Ne Anlama Geliyor

GitHub'da küçük bir proje bile yönetiyorsanız workflow dosyalarınız saldırı yüzeyinizin bir parçasıdır. Çalınan bir token, birinin secret'larınızı sessizce okuyan bir workflow eklemesine olanak tanır ve bir uyarı hiç görmeyebilirsiniz. Bireysel geliştiriciler, açık kaynak bakımcıları ve otomatik dağıtım yapan şirketlerin tümü kapsam içindedir.

İyi haber şu ki savunmalar sizin kontrolünüzde ve çok az zaman maliyeti var. Bu aynı zamanda saldırganların insanların zaten güvendiği hesapları ve araçları hedef aldığı yinelenen bir örüntünün parçası. Incransom'un TrRAC Inc.'e saldırı iddiası hakkındaki haberimiz farklı türde bir olay, ancak çalınan erişimin ne kadar hızlı gerçek zarara dönüşebileceğinin altını çiziyor.

Uygulanabilir çıkarımlar

  • GitHub token'larınızı bugün döndürün ve artık kullanmadıklarınızı silin.
  • Depo erişimi olan her hesapta MFA'yı etkinleştirin.
  • .github/workflows dosyalarınızı sizin yapmadığınız değişiklikler açısından denetleyin.
  • Workflow izinlerini varsayılan olarak salt okunur yapın ve üçüncü taraf Actions'ı sabitleyin.
  • Şüpheli bir şey bulursanız o workflow'un erişebildiği her secret'ı değiştirin.

GitHub çalınan token'lar WFX stealer haberleri hâlâ gelişiyor ve ayrıntılar değişebilir. Kendi kurulumunuzu düzeltmek için doğrulama beklemeyin: token'ları bugün döndürün, MFA'yı etkinleştirin ve workflow'larınızı denetleyin.