GitHub Repozitoriyalarında Miqyaslı ‘Credential-Stealing’ Kampaniyası Aşkarlanıb
13rose
2 min read
Giriş
Kibertəhlükəsizlik tədqiqatçıları, GitHub platformasında on minlərlə repozitoriyaya təsir edən genişmiqyaslı ‘credential-stealing’ kampaniyasının təfərrüatlarını açıqlayıblar. Bu kampaniya iki yüksək profilli açıq mənbə layihəsinin tərtibatçısının hesablarını komprometə edərək 340-dan çox repozitoriyada zərərli ‘workflow’ların yerləşdirilməsinə səbəb olub.
Təcavüzün Detalları və Hədəflər
StepSecurity platformasının məlumatına görə, təcavüzkarlar məşhur ‘pyxel’ oyun mühərrikinin müəllifi, 18.400 ulduzlu Takashi Kitao-nun hesabından istifadə edərək 27 repozitoriyaya zərərli ‘workflow’ yerləşdiriblər. Bu hərəkət UTC vaxtı ilə 13:20-də başlayıb. Hədəf, GitHub Actions vasitəsilə avtomatlaşdırılmış proseslərə sızaraq, etimadnamələri ələ keçirmək və daha geniş miqyaslı zərər vurmaqdır.
GitHub Actions və Təhlükəsizlik Riskləri
‘GitHub Actions’ layihələrin avtomatlaşdırılması üçün güclü bir alət olsa da, bu cür kampaniyalar onun təhlükəsizlik zəifliklərini ortaya qoyur. Zərərli ‘workflow’lar, layihənin tərtibatçıları tərəfindən fərq edilmədən, repozitoriyaların daxilində gizlənə bilər. Təcavüzkarlar, komprometə olunmuş hesablar vasitəsilə bu ‘workflow’ları yerləşdirərək, hesaba daxil olmaq üçün istifadə edilən tokenləri, API açarlarını və digər həssas məlumatları oğurlamağa çalışırlar.
Nəticələr və Qorunma Yolları
Bu cür ‘credential-stealing’ kampaniyaları, təkcə fərdi layihələrin deyil, bütün açıq mənbə ekosisteminin təhlükəsizliyini təhdid edir. Oğurlanmış etimadnamələr, təcavüzkarlara digər repozitoriyalara daxil olmaq, zərərli kod yerləşdirmək və ‘supply chain’ hücumları həyata keçirmək imkanı verə bilər. Tərtibatçılara, iki-faktorlu autentifikasiyadan (MFA) istifadə etmək, bütün ‘workflow’ları diqqətlə nəzərdən keçirmək və şübhəli fəaliyyətlərə qarşı sayıq olmaq tövsiyə edilir. StepSecurity kimi təhlükəsizlik şirkətləri bu cür təhdidləri aşkarlamaq və qarşısını almaq üçün fəal şəkildə işləyirlər.
