Spoločnosť Elementary Data oznámila kompromitáciu pracovných procesov GitHub Actions, v dôsledku ktorej útočníci dokázali publikovať v adresári PyPI a v repozitári GitHub vydanie balíka elementary-data 0.23.3, do ktorého bol zasadený škodlivý kód na krádež dôverných informácií zo systémov používateľov. Škodlivé vydanie bolo taktiež zahrnuté do oficiálneho Docker obrazu projektu. Minulý mesiac bol balík elementary-data stiahnutý z repozitára PyPI viac ako 1,1 miliónkrát.
Škodlivé vydanie bolo publikované 25. apríla o 1:20 (MSK) a zostalo dostupné na stiahnutie viac ako 11 hodín (do 12:45). Útok bol uskutočnený zaslaním pull-žiadosti so špeciálne formátovaným komentárom, ktorý zneužíval zraniteľnosť v automaticky vyvolávanom spracovateľovi GitHub Action. Útočníkom sa podarilo spustiť shell príkazy v prostredí kontinuálnej integrácie a extrahovať z neho obsah premennej prostredia GITHUB_TOKEN s prístupovým tokenom k repozitáru. Tento token bol použitý na vytvorenie niekoľkých vetiev v gite a prípravu vydania.
Do publikovaného útokmi vydania bol zakomponovaný škodlivý kód, zakódovaný v formáte base64 a aktivovaný pri inštalácii balíka. Škodlivý kód vykonával skenovanie systému a odosielal dôverné údaje, ako sú SSH a SSL/TLS kľúče, obsah premenných prostredia, prístupové údaje k AWS, GCP, Azure a K8s, kľúče od kryptopeňaženiek, heslá k databázam, história operácií v príkazovom interpreteri, konfiguračné súbory od Gitu, CI/CD, balíčkových manažérov a Docker.
Zdroj: opennet.ru
