Исследователи Aikido Security обнаружили масштабную кампанию по краже секретных ключей на GitHub. Злоумышленники украли доступы к GitHub-аккаунтам и с 10 ноября массово добавляли в чужие репозитории вредоносный код. Кампания получила название wfx-loot.
«Начиная с 10 ноября, злоумышленник использовал украденные учетные данные GitHub для внедрения вредоносного рабочего процесса (workflow) в десятки тысяч репозиториев. Этот вредоносный код похищает секреты GitHub Actions и учетные данные для облачных сервисов», — говорится в сообщении.
Вредоносное ПО распространилось как минимум на один пакет в Packagist и один пакет в экосистеме Golang через механизмы автоматической публикации. Как полагают аналитики, основная цель хакера — получение доступа к секретам CI (непрерывной интеграции), а не распространение вредоносного кода через цепочку поставок программного обеспечения.
Итог: 4 837 скомпрометированных аккаунтов создали «проверочные» пул-реквесты в 61 764 репозиториях. Как минимум в 1 835 репозиториях вредоносный код реально запустился, что привело к краже учетных данных. 92% из них до сих пор открыты, что говорит о том, что большинство владельцев репозиториев этого не заметили.
«Мы обнаружили признаки того, что вредоносный код был запущен как минимум в 1806 репозиториях, однако реальный масштаб может быть еще больше. В затронутых репозиториях журналы выполнения (run logs) были удалены — это означает, что злоумышленники, вероятнее всего, успели получить учетные данные и замести следы», — рассказали в Aikido.
Пользователей предупредили, что если вредоносный код был выполнен в репозитории, следует считать, что все секреты и облачные роли, доступные для используемых в нем рабочих процессов, скомпрометированы.
Ранее в пятницу «ГлагоL» сообщал о сбое в работе системы корпорации Microsoft, который охватил 74 страны и территории. Первые сообщения о проблемах с Outlook начали поступать ночью из Нью-Йорка. Спустя некоторое время появились данные о сбоях в работе пяти сервисов Microsoft — почти по 20 тыс. жалоб в минуту.
