Diebstahl von GitHub-Zugangsdaten betrifft mindestens 1.835 Ziele

Eine Kampagne zum Diebstahl von GitHub-Zugangsdaten nutzte am 10. November 4.837 kompromittierte Konten, um 61.764 Code-Repositories auf Schreibberechtigungen zu überprüfen. Sicherheitsforscher bestätigten, dass der Angreifer bei mindestens 1.835 Zielen geheime Zugangsdaten gestohlen hatte. Die Kampagne mit dem Namen wfx-loot zielte auf Zugangsdaten ab, die Softwareprojekte zum Erstellen, Testen und Veröffentlichen von Code verwenden.

Die Aktivitäten begannen gegen 12:45 Uhr UTC. Der Angreifer erstellte Pull Requests mit dem Titel docs: dependency audit notes, sodass sie wie routinemäßige Dokumentationsaktualisierungen wirkten. Zum Zeitpunkt der Analyse durch die Forscher waren 92 Prozent dieser Anfragen noch offen. Die Pull Requests halfen dem Angreifer, Kontoberechtigungen zu überprüfen. Ihre bloße Existenz bedeutet jedoch nicht, dass ein Repository geheime Informationen preisgegeben hatte.

Diebstahl von GitHub-Zugangsdaten reicht über Repositories hinaus

Der Angreifer nahm GitHub Actions ins Visier, einen Dienst, den viele Entwickler zur Automatisierung von Aufgaben wie Codetests oder der Bereitstellung von Anwendungen nutzen. Diese Aufgaben benötigen häufig Berechtigungen für den Zugriff auf andere Dienste. Daher können die Zugangsdaten, die einem einzelnen Workflow zur Verfügung stehen, Zugriff auf weit mehr als nur GitHub ermöglichen.

Der Schadcode versuchte, Zugriff auf Amazon Web Services, Microsoft Azure und Google Cloud zu erlangen. Außerdem zielte er auf Zugangsdaten für Entwicklerwerkzeuge und KI-Dienste ab, darunter OpenAI, Anthropic und GitHub Copilot. Abhängig von den Berechtigungen, die ein Projekt vergeben hatte, konnte der Angreifer möglicherweise auch nach Abschluss des betroffenen Workflows weiterhin auf ein Cloud-Konto zugreifen.

Einige der kompromittierten GitHub-Konten standen mit Unternehmen der Fortune-100-Liste, der US-amerikanischen General Services Administration, der französischen Regierung sowie Open-Source-Projekten wie Nextcloud und WebdriverIO in Verbindung. Die Forscher identifizierten außerdem rund 50 Konten, die offenbar über Veröffentlichungsrechte in anderen Software-Ökosystemen verfügten, darunter npm, PyPI und Packagist.

Automatisierte Veröffentlichungen verbreiten Schadcode in Softwarepaketen

Die Untersuchung identifizierte drei Paketveröffentlichungen, die den Schadcode enthielten. Auf Packagist tauchte er in Version 3.14.3 von digitalelvis/neuronai-studio auf. Im Go-Ökosystem gelangte er in die Versionen v1.0.278 und v1.0.280 von github.com/onuragtas/docker-env. Die Forscher führten diese Veröffentlichungen auf automatisierte Veröffentlichungsprozesse zurück und kamen zu dem Schluss, dass der Diebstahl von Workflow-Geheimnissen das Hauptziel des Angreifers war.

Repository-Betreiber können nach einem Branch namens wfx-docs, dem Pull Request mit Bezug auf eine Abhängigkeitsprüfung und unerklärlichen Lücken in der Nummerierung von Workflow-Ausführungen suchen. Der Angreifer löschte einige Ausführungsprotokolle. Daher kann ein scheinbar unauffälliger Workflow-Verlauf unvollständig sein.

Wenn Ermittler bestätigen, dass der Schadcode ausgeführt wurde, empfehlen die Forscher den betroffenen Teams, sämtliche Geheimnisse und Cloud-Rollen, die dem Workflow zur Verfügung standen, als kompromittiert zu betrachten. Außerdem sollten sie offengelegte Zugangsdaten ersetzen und die betroffenen Cloud-Zugriffsberechtigungen überprüfen.