"wfx-loot" olarak bilinen geniş çaplı bir saldırı kampanyası GitHub platformunu hedef almaya başladı; saldırganlar, çalınan erişimi test etmek ve hassas kimlik bilgilerini çalmayı amaçlayan kötü amaçlı yazılımlar yerleştirmek için 60.000'den fazla yazılım deposunu (Repository) hedef aldı. Aikido Security ve StepSecurity gibi güvenlik şirketlerinden gelen raporlara göre, mevcut yetkileri test etmek amacıyla şüpheli çekme istekleri (Pull Requests) göndermek için kullanılan yaklaşık 4.800 ele geçirilmiş hesap tespit edildi.
Raporlar, ayarların ve yetkilerin izin verdiği 1.800'den fazla yazılım deposunda kötü amaçlı yazılımın başarıyla çalıştığını açıklarken, SafeDep şirketi kötü amaçlı değişikliklerin yaklaşık 8.093 genel depoya ulaştığını kaydetti; ancak bu durum, kötü amaçlı yazılımın hepsinde başarıyla yürütüldüğü anlamına gelmiyor.
Saldırı Mekanizması: Açıkları Değil, Güveni İstismar Etmek
Bu saldırının temel noktalarından biri, saldırganların GitHub Actions'daki bir yazılım açığını istismar etmemesi, bunun yerine önceden ele geçirilmiş geliştiricilere veya yazılım hesaplarına (Botlar) ait geçerli "erişim jetonlarını" (Tokens) kullanmaya dayanmasıdır. Kötü amaçlı yazılım şu alanlar dahil olmak üzere çeşitli yerlere enjekte edildi:
- GitHub Actions iş akışları (Workflows).
- Sürekli Entegrasyon (CI) sistemleri tarafından çalıştırılan Shell betikleri.
- npm paket kurulum kancaları (hooks); bu durum, kötü amaçlı değişiklikler mevcutken bağımlılıkları (Dependencies) yükleyen geliştiriciler için risk oluşturmaktadır.
Bu Saldırı Gerçekte Neyi Değiştiriyor?
"wfx-loot" kampanyasının tehlikesi, saldırganların stratejisinin teknik açıklar (Exploits) aramaktan, ele geçirilmiş hesaplara "verilen güveni" istismar etmeye dönüşmesinde yatmaktadır. Saldırgan, sistemi kırmaya çalışmak yerine, yasa dışı eylemler gerçekleştirmek için meşru anahtarları kullanır, bu da tespit edilmesini çok daha zor hale getirir. Kötü amaçlı yazılım; GitHub jetonlarını, depo sırlarını ve AWS ile Azure gibi bulut kimlik bilgilerinin yanı sıra yapay zeka hizmet anahtarlarını (AI service keys) çalmayı hedeflemektedir; bu da kurumların bulut altyapısının tamamen ele geçirilmesine ve erişim kapsamının genişletilmesine yol açabilir.
İzlerini gizlemek için saldırganlar, görevi tamamladıktan sonra kod değişikliklerini geri alma ve iş akışı çalıştırma (Workflow runs) günlüklerini silme yöntemini izlemektedir. Fly.io şirketinin kendi altyapısının ele geçirildiğine dair şu ana kadar bir kanıt olmamasına rağmen, bazı isteklerde Fly.io uygulamasından gelen jetonların kullanıldığı da gözlemlenmiştir.
Geliştiriciler ve Kuruluşlar İçin Güvenlik Önerileri
Durumun ciddiyeti nedeniyle güvenlik şirketleri, kötü amaçlı yazılımın yürütülmesine maruz kalmış olabilecek kuruluşlara aşağıdakileri içeren acil önlemler almalarını tavsiye etmektedir:
- Ele geçirilmiş olduğundan şüphelenilen tüm erişim jetonlarını (Tokens) iptal etmek.
- İfşa olmuş olabilecek tüm sırları ve kimlik bilgilerini döndürmek (Rotate).
- Yetkisiz değişiklikleri veya etkinlikleri aramak için bulut bilişim günlüklerini dikkatle incelemek.