Migliaia di account GitHub rubati espongono i segreti della CI
Aikido Security riferisce che una campagna ha usato 4.837 account GitHub compromessi per inserire uno stealer nei workflow CI, attivo in almeno 1.806 repository. Può sottrarre i segreti e le credenziali cloud accessibili a quei workflow, estendendo l’impatto ben oltre gli account rubati.
Gli attaccanti hanno aperto pull request di prova per verificare i permessi di scrittura, poi hanno aggiunto codice eseguito dai processi automatici del repository. SafeDep ha contato commit malevoli in 8.093 repository pubblici. In alcuni casi le modifiche sono state ritirate in pochi minuti e i log delle esecuzioni cancellati; un hook npm può anche eseguire codice sul computer di chi installa un pacchetto.
Un repository tornato apparentemente pulito non dimostra che i segreti siano rimasti al sicuro: possono essere già stati raccolti. Anche gli account che hanno aperto le pull request di prova possono essere compromessi, persino senza che lo stealer sia stato eseguito.
A new campaign dubbed 'wfx-loot' has unfolded on GitHub where threat actors used 4,837 compromised accounts to probe 61,764 repositories, open pull requests, and push secrets-stealing malware.