Kompania Elementary Data njoftoi për një komprometim të proceseve të GitHub Actions, në rezultat të të cilit sulmuesit arritën të publikojnë në katalogun PyPI dhe në depon e GitHub-it publikimin e paketës elementary-data 0.23.3, në të cilën ishte injektuar kod malicioz për të vjedhur informacion të ndjeshëm nga sistemet e përdoruesve. Publikimi malicioz gjithashtu u përfshi në imazhin zyrtar Docker të projektit. Muajin e kaluar, paketa elementary-data u shkarkua nga depoja PyPI më shumë se 1.1 milion herë.
Publikimi malicioz u publikua më 25 prill në orën 1:20 (MSK) dhe mbeti i aksesueshëm për shkarkim për më shumë se 11 orë (deri në 12:45). Sulmi u krye nëpërmjet dërgimit të një kërkese pull me një koment të veçuar, që shfrytëzonte një dobësi në trajtuesin automatik të thirrjes së GitHub Action. Sulmuesit arritën të ekzekutonin komanda shell në ambientin e integrimit të vazhdueshëm dhe të nxirrnin përmbajtjen e variablit të mjedisit GITHUB_TOKEN me tokenin e aksesit në depo. Ky token u përdor për të krijuar disa degë në git dhe përgatitur publikimin.
Në përmbajtjen e publikuar nga sulmuesit u përfshi një kod keqdashës, i koduar në formatin base64 dhe i aktivizuar gjatë instalimit të paketës. Kodi keqdashës skanon sistemin dhe dërgon të dhëna të ndjeshme, siç janë çelësat SSH dhe SSL/TLS, përmbajtja e variablave të ambientit, kredencialet për AWS, GCP, Azure dhe K8s, çelësat e portofolit kripto, fjalëkalimet për DBMS, historia e operacioneve në interpretuesin e komandave, skedarët e konfigurimit nga Git, CI/CD, menaxherët e paketave dhe Docker.
Burimi: opennet.ru
