Ele geçirilen GitHub hesapları binlerce depoya sır çaldı
GitHub hesapları ele geçirildi. 4837 hesap üzerinden binlerce depoya sır çalan betik yerleştirildi. Aikido Security'ye göre betik en az 1806 depoda çalıştı. SafeDep'in analizi ise çok daha yüksek bir rakam verdi: 8093 depo. SafeDep'in sayısı, çalışma fırsatı bulamayanlar da dahil, kötü amaçlı commit alan tüm depoları kapsıyor.
Tarama yalnızca herkese açık projelerin ana dallarına baktığı için gerçek sayı daha yüksek olabilir.
Saldırı, deneme pull request'iyle başladı
Her şey, wfx-docs dalından açılan ve başlığı «docs: dependency audit notes» olan bir deneme pull request'iyle başlıyordu. Saldırgan böylece ele geçirilmiş hesabın depo içeriğini değiştirip değiştiremediğini sınıyordu. Bu tür istekler 61.764 projede görüldü. Bir kısmında ardından sır çalan betik eklendi.
SafeDep, betiğin 7309 olayda mevcut GitHub Actions iş akışlarına eklendiğini saptadı. Başka 771 olayda npm postinstall üzerinden yayıldı. Bu, bir paket kurulurken kodun otomatik çalışmasını sağlayan bir mekanizma.
Betik, geliştiricinin bilgisayarında da çalışabiliyordu
Böylece kod yalnızca projenin bulut altyapısında değil, geliştiricinin kendi bilgisayarında da çalışabilirdi. Saldırgan genellikle birkaç dakika sonra değişiklikleri geri alıyordu. Betiğin çalışma kayıtları da çalıştırmalarla birlikte siliniyordu. Görünür bir iz olmaması, verinin çalınmadığı anlamına gelmiyor.
Ele geçirilen GitHub hesapları bu sayede uzun süre fark edilmeyebilir. Şirketlerin kendi sunucularındaki self-hosted runner'larda betik ek bulut kimlik bilgilerine de uzanabiliyordu. Sanal makine metaverisi, Docker konteyner bilgileri ve systemd yapılandırması bunlar arasındaydı.
Veriler HTTP POST ile uzak sunuculara ya da Telegram'a gönderildi. Kalıcı AWS anahtarları oluşturabiliyor, bulut rollerinin güven politikalarını da değiştirebiliyordu.
Etkilenen hesap sayısı yeni kampanyada arttı
O dönem etkilenen GitHub hesapları, yeni kampanyaya yaklaşık 1000 kat daha sık dahil oldu. Haberde hata mı var? Bize bildirin. Sen olsan GitHub hesabını korumak için hangi adımı ilk sırada atardın: iki faktörlü doğrulama mı, token kısıtlaması mı?
Kaynak: Haber Merkezi
