Elementary Data 报告称其 GitHub Actions 工作流遭到入侵，攻击者得以将 elementary-data 软件包 0.23.3 版本发布到 PyPI 和 GitHub 代码库，该版本中注入了恶意代码，旨在窃取用户系统中的敏感信息。恶意版本也被包含在项目的官方 Docker 镜像中。上个月，elementary-data 软件包从 PyPI 代码库的下载量超过 1.1 万次。
恶意版本于4月25日凌晨1点20分（莫斯科时间）发布，并持续可供下载超过11个小时（直至下午12点45分）。攻击者通过发送一个带有精心构造的评论的拉取请求来实施攻击，该评论利用了GitHub Action自动调用处理程序中的一个漏洞。攻击者能够在持续集成环境中运行shell命令，并提取包含仓库访问令牌的GITHUB_TOKEN环境变量的内容。该令牌被用于创建多个Git分支并准备发布。
攻击者发布的恶意代码以 base64 编码，并在软件包安装时激活。该恶意代码会扫描系统并发送敏感数据，包括 SSH 和 SSL/TLS 密钥、环境变量内容、AWS、GCP、Azure 和 K8s 凭证、加密货币钱包密钥、数据库管理系统密码、命令解释器历史记录以及来自 Git、CI/CD、包管理器和 Docker 的配置文件。
来源： opennet.ru
