据Cybernews报道，一场围绕GitHub被盗令牌和WFX窃取程序的攻击活动正使约66,000个代码库面临风险。攻击者据称利用被盗访问令牌植入恶意工作流文件，将开发流水线变成了收集机密的工具。现有报道较为简短，因此本文仅陈述已公开的内容，并聚焦于开发者当下可以采取的实际措施。
被盗令牌如何助成GitHub工作流攻击
据报道，该攻击活动利用被盗令牌向约66,000个GitHub代码库添加了“WFX窃取程序”工作流。令牌是一种凭证，允许个人或应用程序在无需输入密码的情况下代表账户执行操作。如果攻击者持有一个权限足够的有效令牌，GitHub会将其行为视为合法操作。
这正是工作流成为诱人目标的原因。GitHub Actions工作流是存储在代码库中的文件，会自动运行，通常可以访问项目用于构建、测试和部署代码的机密信息。恶意工作流无需利用软件漏洞，只需由GitHub认为已获授权的人提交，然后便会在流水线内运行。
来源摘要未详细说明令牌最初是如何被盗的，我们也不会进行猜测。对读者而言，重要的是这一模式：流水线本身成为投递机制，而解锁它的凭证才是真正的目标。
WFX窃取程序能从开发者账户中获取什么
报道将这些工作流描述为窃取机密，相关分析指出CI/CD流水线可能成为通往开发者机密和个人账户的路径。实际上，在流水线中运行的窃取程序可能触及该流水线所能触及的一切。此类材料的典型示例包括：
- 以代码库机密形式存储的API密钥和云凭证
- 部署令牌和包注册表凭证
- 工作流可访问的其他GitHub令牌
在我们所掌握的信息中，WFX窃取程序收集的具体数据尚未得到确认，因此请将上述列表视为流水线机密常见的风险类别，而非本次攻击活动的已核实发现。更广泛的担忧在于，一个被盗令牌可能导致更多令牌被盗。从一个代码库中窃取的机密可能解锁其他服务，这就是代码库泄露如何蔓延到个人和组织账户的方式。
这与我们此前报道过的一个更广泛的主题相吻合：人们本应信任的系统被反过来对付他们。我们在Pixel零点击漏洞及ScreenConnect攻击MSP的分析中同样看到了这条令人不安的线索，表明受信任的工具往往是薄弱环节。
如何检查你的代码库是否受到影响
我们无法告诉你某个特定代码库是否在受影响列表中，现有报道也未公布该列表。但你仍然可以自行查找篡改痕迹：
- 审查工作流文件。 打开每个代码库中的
.github/workflows文件夹，查找你不认识的文件或并非你所做的编辑。 - 检查提交和拉取请求历史。 查找最近涉及工作流的提交或分支，尤其是来自不熟悉账户或在异常时间进行的操作。
- 检查Actions运行日志。 意外的运行、新的触发器或发起出站网络请求的步骤都值得仔细查看。
- 审查安全日志和授权应用。 在GitHub设置中，检查哪些个人访问令牌、OAuth应用和GitHub App拥有访问权限，并移除任何你不使用的项。
- 如果发现任何异常，假定已暴露。 将该工作流能读取的每个机密视为已泄露并予以替换。
加固GitHub：令牌、MFA和第三方Actions
这些步骤都不复杂，但合在一起可以降低被盗令牌能造成的危害。
轮换并缩小令牌权限。 撤销旧的个人访问令牌，签发具有最窄范围和最短有效期的新令牌。限定于特定代码库的细粒度令牌比广泛权限的令牌更安全。
启用多因素认证。 MFA保护你的账户登录，但值得记住的是，被盗令牌可能完全绕过登录步骤。这就是令牌卫生同样重要的原因。
限制工作流权限。 将默认工作流令牌设置为只读，仅在作业确实需要时授予写权限。要求在工作流文件变更合并前进行审查，例如通过分支保护和代码所有者实现。
审查第三方Actions。 将Actions固定到特定提交而非可移动的标签，并优先选择来自你信任的维护者的Actions。让不需要机密的作业远离机密。
这对你意味着什么
即使你只是在GitHub上维护一个小项目，你的工作流文件也是攻击面的一部分。被盗令牌可以让别人添加一个悄悄读取你机密的工作流，而你可能永远不会收到警报。个人开发者、开源维护者以及拥有自动化部署的公司都在风险范围之内。
好消息是，这些防御措施在你的掌控之中，且花费时间很少。这也是攻击者瞄准人们已经信任的账户和工具这一反复出现的模式的一部分。我们对Incransom声称攻击TrRAC Inc.的报道是另一种类型的事件，但它凸显了被盗访问权限能多快转化为实际损害。
可操作要点
- 今天就轮换你的GitHub令牌，删除不再使用的令牌。
- 在所有拥有代码库访问权限的账户上启用MFA。
- 审计你的
.github/workflows文件，查找非你所做的更改。 - 将工作流权限默认设置为只读，并固定第三方Actions。
- 如果发现任何可疑情况，替换该工作流能访问的每个机密。
GitHub被盗令牌WFX窃取程序的报道仍在发展中，细节可能会变化。不要等待确认才整理自己的设置：今天就轮换令牌、启用MFA并审计你的工作流。
