Un nuevo ataque de GhostAction compromete a cientos de usuarios de GitHub para robar secretos

Una nueva campaña de GhostAction ha comprometido 346 repositorios de GitHub después de que los actores de amenazas utilizaran dos cuentas de mantenedor secuestradas para agregar un flujo de trabajo falso de "auditoría de seguridad" diseñado para robar secretos de CI/CD, claves de nube, tokens de API y credenciales almacenadas en el historial del código fuente. El archivo malicioso,.github/workflows/security-audit.yml, se añadió a través de confirmaciones denominadas "Añadir flujo de trabajo de auditoría de seguridad" y "Actualizar flujo de trabajo de auditoría de seguridad." La campaña muestra cómo una cuenta de mantenedor de GitHub robada puede exponer mucho más de un repositorio personal.

Una vez que los atacantes obtienen acceso de escritura, pueden añadir un flujo de trabajo de Acciones de GitHub a cada repositorio que la cuenta pueda modificar. Recopila secretos de Acciones de GitHub a los que hacen referencia los flujos de trabajo de proyectos existentes, incluidas las contraseñas PyPI, los tokens de crates.io, los tokens de acceso personal de GitHub y las credenciales de publicación de paquetes. Flujo de trabajo de acciones maliciosas de GitHub (Fuente de la imagen: Socket) La versión más reciente de GhostAction también busca secretos codificados en los archivos del repositorio activo y en el historial completo de Git. Cyber Security News cubrió anteriormente cómo una acción GitHub comprometida exfiltraba las credenciales del flujo de trabajo, lo que demuestra que los entornos CI/CD siguen siendo un objetivo valioso para los operadores de la cadena de suministro.

Los equipos afectados deben revocar las sesiones de GitHub, los tokens de acceso personal, las subvenciones de OAuth, las claves SSH y todos los secretos nombrados en el flujo de trabajo malicioso. indicadores de compromiso (IoC) (IoC) IoC TypeIndicatorDescriptionWorkflow file path.github/workflows/security-audit.ymlMalicious workflow file pathWorkflow file path.github/workflows/github_actions_security.ymlAlternative malicious workflow file pathCommit messageAdd security audit workflowCommit message associated with workflow injectionCommit messageUpdate security audit workflowCommit message associated with workflow injectionCommit messageAdd Github Acciones Flujo de trabajo de seguridadMensaje de confirmación alternativo asociado con la inyección del flujo de trabajoMarcador del cuerpo de la solicitudREPO = Marcador del identificador del repositorio en el cuerpo de la solicitud salienteMarcador del cuerpo de la solicitudAKIA_CTX_STARTSe inicia el marcador para el contexto de credenciales de AWS recopiladasMarcador del cuerpo de la solicitudAKIA_CTX_ENDEnd marcador para el contexto de credenciales de AWS recopiladasDirección IP de C2193.32.204 [.] 199Destino utilizado para recibir credenciales robadasNota: Las direcciones IP y los dominios son intencionalmente desfigurado (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos.

Consultar publicación original ↗