Společnost Elementary Data oznámila kompromitaci pracovních procesů GitHub Actions, v jejímž důsledku útočníci dokázali publikovat v katalogu PyPI a v GitHubovém repozitáři verzi balíčku elementary-data 0.23.3, do níž byl vložen škodlivý kód určený ke krádeži důvěrných informací ze systémů uživatelů. Škodlivá verze byla také zahrnuta do oficiálního Docker obrazu projektu. V minulém měsíci byl balíček elementary-data načten z repozitáře PyPI více než 1,1 milionkrát.
Škodlivá verze byla publikována 25. dubna v 1:20 (MSK) a zůstala dostupná ke stažení více než 11 hodin (do 12:45). Útok byl proveden zasláním pull requestu se speciálně upraveným komentářem, který zneužíval zranitelnost v automaticky vyvolávaném zpracovatelském postupu GitHub Action. Útočníkům se podařilo spustit shell příkazy v prostředí kontinuální integrace a extrahovat obsah proměnné prostředí GITHUB_TOKEN s přístupovým tokenem k repozitáři. Tento token byl použit k vytvoření několika větví v gitu a přípravě verze.
Do zveřejněné verze, kterou útočníci publikovali, byl zahrnut škodlivý kód zakódovaný ve formátu base64 a aktivovaný při instalaci balíčku. Škodlivý kód prováděl skenování systému a odesílal důvěrné údaje, jako jsou SSH a SSL/TLS klíče, obsah proměnných prostředí, přihlašovací údaje k AWS, GCP, Azure a K8s, klíče od kryptopeněženek, hesla k DBMS, historie operací v příkazovém interpretu, konfigurační soubory od Git, CI/CD, správce balíčků a Docker.
Zdroj: opennet.ru
