GitHub Actions'ı hedef alan kampanyada yüzlerce hesap ele geçirildi

Wiz Research, Gheist adlı tehdit aktörünün ele geçirdiği GitHub hesapları üzerinden GitHub Actions iş akışlarıyla gizli verileri çaldığını bildirdi. Kampanya 15 Eylül'den bu yana sürüyor.

TechInside'ın aktardığına göre Gheist adlı tehdit aktörü, 15 Eylül'den bu yana ele geçirdiği GitHub hesapları üzerinden hassas verileri çalmayı amaçlayan geniş çaplı bir kampanya yürütüyor. Wiz Research'ün tespit ettiği saldırıda 850'den fazla hesapta 13.500'den fazla zararlı dal oluşturuldu; hedefte kişisel ve kurumsal özel depolar bulunuyor.

Saldırganlar ele geçirdikleri hesaplarda "sync-check" adlı iş akışları oluşturuyor. GitHub normalde hassas verileri log dosyalarında otomatik olarak maskeliyor, ancak Gheist verileri Base32 formatında kodlayarak bu korumayı aşıyor. İş akışı tamamlanınca veriler API üzerinden çekiliyor ve iz bırakmamak için iş akışı hemen siliniyor.

Wiz araştırmacıları, verilerin GitHub'ın kendi altyapısı üzerinden dışarı çıkarılmasını yöntemin en tehlikeli yanı olarak değerlendiriyor. Dışarıdaki bir alan adına bağlantı kurulmadığı için geleneksel güvenlik duvarı kuralları saldırıyı engellemekte etkisiz kalıyor.

İleri aşamalarda kendi kendine barındırılan GitHub Actions çalıştırıcıları da hedef alınıyor. "sync-host" adlı ek iş akışıyla API anahtarları, özel sertifikalar, Docker soketleri ve Kubernetes hizmet hesabı token'larının ele geçirilmeye çalışıldığı belirtildi.

Wiz'in analizlerine göre aynı organizasyona ait bulut kimlik bilgileri, saldırıdan saatler sonra AWS Secrets Manager üzerinde kullanıldı. Bilgilerin kaynağı olarak Trivy gibi tedarik zinciri bileşenlerindeki eski açıklar gösteriliyor.

GitHub'ın halka açık depolar için geliştirdiği onay mekanizmalarının özel depolarda ve GitHub Enterprise Server'da yeterli etki göstermediği aktarıldı. Güvenlik ekiplerine "ci-sync-" önekli dalları ve "ci: sync config" başlıklı commit'leri taramaları, ele geçirilen tüm token'ları iptal etmeleri ve ilgili gizli anahtarları yenilemeleri öneriliyor.