Eine groß angelegte Angriffskampagne namens „wfx-loot“ hat begonnen, die GitHub ins Visier nimmt. Dabei haben die Angreifer mehr als 60.000 Software-Repositories angegriffen, um den gestohlenen Zugriff zu testen und Malware einzuschleusen, die darauf abzielt, sensible Anmeldedaten zu stehlen. Laut Berichten von Sicherheitsunternehmen wie Aikido Security und StepSecurity wurden fast 4.800 kompromittierte Konten beobachtet, die für die Einreichung verdächtiger Pull Requests verwendet wurden, um die verfügbaren Berechtigungen zu testen.
Die Berichte erklärten, dass die Malware in mehr als 1.800 Repositories erfolgreich operieren konnte, sofern die Einstellungen und Berechtigungen dies zuließen, während das Unternehmen SafeDep feststellte, dass bösartige Änderungen etwa 8.093 öffentliche Repositories erreichten, was jedoch nicht zwangsläufig bedeutet, dass die Ausführung der Malware in allen Fällen erfolgreich war.
Angriffsmechanismus: Ausnutzung von Vertrauen statt Schwachstellen
Ein wesentlicher Punkt bei diesem Angriff ist, dass die Angreifer keine Software-Schwachstelle in GitHub Actions ausnutzen, sondern stattdessen auf die Verwendung gültiger „Access Tokens“ setzen, die Entwicklern oder zuvor übernommenen Software-Konten (Bots) gehören. Die Malware wurde an mehreren Stellen eingeschleust, darunter:
- GitHub Actions Workflows.
- Shell-Skripte, die von Continuous Integration (CI)-Systemen ausgeführt werden.
- npm-Paketinstallations-Hooks, was ein Risiko für Entwickler darstellt, die Abhängigkeiten (Dependencies) installieren, während bösartige Änderungen vorhanden sind.
Was verändert dieser Angriff tatsächlich?
Die Gefahr der „wfx-loot“-Kampagne liegt in der Verschiebung der Angriffsstrategie von der Suche nach technischen Exploits hin zur Ausnutzung des „gewährten Vertrauens“ kompromittierter Konten. Anstatt zu versuchen, das System zu brechen, verwendet der Angreifer legitime Schlüssel für illegale Aktivitäten, was die Entdeckung erheblich erschwert. Die Malware zielt darauf ab, GitHub-Token, Repository-Secrets und Cloud-Anmeldedaten wie AWS und Azure sowie KI-Service-Schlüssel (AI service keys) zu stehlen, was zu einer vollständigen Kompromittierung der Cloud-Infrastruktur von Unternehmen und einer Ausweitung des Zugriffs führen kann.
Um ihre Spuren zu verwischen, verfolgen die Angreifer eine Methode, die darauf basiert, Code-Änderungen rückgängig zu machen und die Protokolle der Workflow-Durchläufe (Workflow runs) nach Abschluss der Aufgabe zu löschen. Es wurde auch die Verwendung von Token beobachtet, die von der Fly.io-Anwendung ausgegeben wurden, obwohl es bisher keinen Beweis für eine Kompromittierung der Infrastruktur von Fly.io selbst gibt.
Sicherheitsempfehlungen für Entwickler und Unternehmen
Angesichts der Ernsthaftigkeit der Lage raten Sicherheitsunternehmen Organisationen, die möglicherweise einer Ausführung der Malware ausgesetzt waren, zu sofortigen Maßnahmen, einschließlich:
- Widerrufen Sie alle Access Tokens, von denen der Verdacht besteht, dass sie kompromittiert wurden.
- Rotieren (Rotate) Sie alle Secrets und Anmeldedaten, die möglicherweise offengelegt wurden.
- Überprüfen Sie die Cloud-Computing-Protokolle sorgfältig auf unbefugte Änderungen oder Aktivitäten.