Badacze z GitGuardian odkryli nowy, zakrojony na dużą skalę atak na łańcuch dostaw, nazwany GhostAction.
Najważniejsze ustalenia
- Atakujący przejęli konta opiekunów projektów, aby wypchnąć złośliwe przepływy pracy GitHub Actions.
- Te przepływy kradły sekrety za pomocą żądań curl POST, wysyłając je do domen kontrolowanych przez atakujących.
- Dotknięto co najmniej 817 repozytoriów w PyPI, npm, DockerHub, GitHub, Cloudflare, AWS i bazach danych.
- Skradziono około 3325 sekretów.
- Dotknięte ekosystemy obejmują Python, Rust, JavaScript i Go.
- Co najmniej 9 pakietów npm i 15 pakietów PyPI pozostaje zagrożonych, dopóki sekrety nie zostaną unieważnione.
Skutki
Choć niektóre repozytoria szybko wycofały złośliwe commity, skala ataku ujawnia poważne ryzyko dla łańcucha dostaw.
Atakujący mogą potencjalnie wydawać pakiety z trojanem lub inne złośliwe pakiety przy użyciu skradzionych danych uwierzytelniających.
Reakcja
- GitGuardian zgłosił problemy w 573 repozytoriach i powiadomił GitHub, npm oraz PyPI.
- Punkt końcowy służący do eksfiltracji został w międzyczasie wyłączony, ale skradzione dane uwierzytelniające nadal mogą zostać wykorzystane.
W Alcaeus Services pomagamy organizacjom zabezpieczać łańcuchy dostaw oprogramowania, monitorować wycieki sekretów i zapobiegać naruszeniom, zanim dotrą na produkcję.
