Масштабная хакерская кампания, известная как "wfx-loot", начала атаковать платформу GitHub. Злоумышленники нацелились на более чем 60 000 репозиториев, чтобы проверить украденный доступ и внедрить вредоносное ПО, предназначенное для кражи конфиденциальных учетных данных. Согласно отчетам компаний по безопасности, таких как Aikido Security и StepSecurity, было зафиксировано около 4 800 скомпрометированных учетных записей, которые использовались для отправки подозрительных запросов на слияние (Pull Requests) с целью проверки доступных прав доступа.
В отчетах поясняется, что вредоносное ПО успешно сработало в более чем 1 800 репозиториях, где это позволяли настройки и разрешения, в то время как компания SafeDep зафиксировала проникновение вредоносных изменений примерно в 8 093 публичных репозитория, что не обязательно означает успешное выполнение вредоносного кода во всех из них.
Механизм атаки: использование доверия, а не уязвимостей
Ключевым моментом этой атаки является то, что злоумышленники не используют уязвимости в GitHub Actions, а вместо этого полагаются на использование действительных "токенов доступа", принадлежащих разработчикам или ботам, которые были захвачены заранее. Вредоносное ПО было внедрено в несколько мест, включая:
- Рабочие процессы GitHub Actions (Workflows).
- Shell-скрипты, запускаемые системами непрерывной интеграции (CI).
- Хуки установки пакетов npm, что создает риск для разработчиков, устанавливающих зависимости (Dependencies) во время наличия вредоносных изменений.
Что на самом деле меняет эта атака?
Опасность кампании "wfx-loot" заключается в смене стратегии злоумышленников: от поиска технических уязвимостей (Exploits) к использованию "предоставленного доверия" скомпрометированным учетным записям. Вместо попыток взлома системы злоумышленник использует легитимные ключи для совершения незаконных действий, что значительно затрудняет обнаружение. Вредоносное ПО нацелено на кражу токенов GitHub, секретов репозиториев и учетных данных облачных сервисов, таких как AWS и Azure, а также ключей сервисов искусственного интеллекта (AI service keys), что может привести к полному взлому облачной инфраструктуры организаций и расширению доступа к ней.
Чтобы скрыть свои следы, злоумышленники используют метод отмены программных изменений и удаления журналов выполнения рабочих процессов (Workflow runs) после завершения задачи. Также было замечено использование токенов, выданных приложением Fly.io в некоторых запросах, хотя на данный момент нет доказательств взлома инфраструктуры самой компании Fly.io.
Рекомендации по безопасности для разработчиков и организаций
Учитывая серьезность ситуации, компании по безопасности рекомендуют организациям, которые могли подвергнуться выполнению вредоносного ПО, принять немедленные меры, включающие:
- Аннулирование всех токенов доступа, которые могли быть скомпрометированы.
- Ротацию (Rotate) всех секретов и учетных данных, которые могли быть раскрыты.
- Тщательную проверку журналов облачных вычислений на предмет любых изменений или несанкционированной активности.