Kampania GhostAction wypchnęła 72 000 commitów do 23 000 repozytoriów GitHub

Operator kampanii GhostAction między 13 a 21 października wypchnął 72 000 commitów do 23 000 publicznych repozytoriów GitHub. Wśród nich 8000 repozytoriów zaatakował po raz pierwszy. Dane opublikował 27 października GitGuardian. Według Dark Reading najnowsza fala w dużej mierze się nie powiodła, ale kampania trwa. Atakujący przejmują konta deweloperów i dodają do repozytoriów pliki workflow GitHub Actions. Te pliki wykradają sekrety repozytorium, tokeny do publikowania pakietów, osobiste tokeny dostępu GitHub i dane logowania zapisane w kodzie. Wcześniej, w dniach 8-12 października, ten sam operator umieścił plik security-audit.yml w około 30 000 repozytoriów.

Kogo dotyczy

Dotyczy właścicieli publicznych repozytoriów GitHub, których konta deweloperów zostały przejęte, oraz firm korzystających z GitHub Actions. GitGuardian zauważył, że po przejęciu konta operator dobiera ładunek do runnera, na którym działa dane repozytorium. Wykradzione dane mogą dać atakującym dostęp do kolejnych repozytoriów, systemów CI/CD i środowisk chmurowych.