4837 przejętych kont GitHub podłożyło złodzieja sekretów CI w co najmniej 1806

Od wtorku napastnik używa 4837 przejętych kont GitHub, by podkładać złodzieja sekretów do repozytoriów, w których te konta mają prawo zapisu. Według Aikido Security kod uruchomił się w co najmniej 1806 repozytoriach i zabierał sekrety oraz dane dostępowe do chmury, do których sięgają workflow CI. SafeDep naliczył 8093 repozytoria ze złośliwymi commitami. W 771 z nich kod przyszedł jako hook postinstall npm, który działa także na komputerze programisty przy npm install. Napastnik zwykle cofał zmianę po kilku minutach, a tam, gdzie złodziej się uruchomił, kasował jego logi.

Kogo dotyczy

Dotyczy właścicieli repozytoriów GitHub z workflow CI oraz kont, z których otwarto pull request „docs: dependency audit notes” z gałęzi wfx-docs. Takie testowe zgłoszenia trafiły do 61 764 repozytoriów, a nowe pojawiały się jeszcze 12 listopada rano. Według Aikido każde konto, które otworzyło taki pull request, jest przejęte, nawet jeśli złodziej się nie uruchomił. Materiał nie wyjaśnia, skąd napastnik wziął dane logowania.