A empresa Elementary Data informou sobre a compromissão dos processos do GitHub Actions, onde atacantes conseguiram publicar no repositório PyPI e no repositório do GitHub a versão 0.23.3 do pacote elementary-data, que continha código malicioso para roubar informações confidenciais dos sistemas dos usuários. A versão maliciosa também foi incluída na imagem oficial do Docker do projeto. No mês passado, o pacote elementary-data foi baixado mais de 1,1 milhão de vezes do repositório PyPI.
A versão maliciosa foi publicada em 25 de abril às 1:20 (MSK) e permaneceu disponível para download por mais de 11 horas (até 12:45). O ataque foi realizado através do envio de um pull request com um comentário formatado especialmente, explorando uma vulnerabilidade no manipulador do GitHub Action que é chamado automaticamente. Os atacantes conseguiram executar comandos shell no ambiente de integração contínua e extrair o conteúdo da variável de ambiente GITHUB_TOKEN, que possui o token de acesso ao repositório. Esse token foi utilizado para criar várias branches no git e preparar a versão.
O release publicado pelos atacantes incluía código malicioso codificado em formato base64, ativado durante a instalação do pacote. O código malicioso fazia a varredura do sistema e enviava dados confidenciais, como chaves SSH e SSL/TLS, conteúdo de variáveis de ambiente, credenciais da AWS, GCP, Azure e K8s, chaves de carteiras criptográficas, senhas de bancos de dados, histórico de operações no interpretador de comandos, arquivos de configuração do Git, CI/CD, gerenciadores de pacotes e Docker.
Fonte: opennet.ru
