Kẻ tấn công dùng 4.837 tài khoản GitHub để đánh cắp bí mật

Kẻ tấn công sử dụng thông tin đăng nhập bị đánh cắp của 4.837 tài khoản GitHub để triển khai một công cụ đánh cắp bí mật vào hơn 1.806 kho lưu trữ. Aikido Security phát hiện sự việc này từ thứ Ba. Công cụ này nhắm mục tiêu vào các quy trình CI (Continuous Integration) để trích xuất thông tin xác thực và token truy cập đám mây, có thể ảnh hưởng đến cả kho lưu trữ công khai và riêng tư.

Đây là vấn đề đáng quan tâm với các kỹ sư và doanh nghiệp Việt Nam sử dụng GitHub, đặc biệt là những người có quy trình CI/CD tự động hóa. Việc lộ bí mật có thể dẫn đến xâm nhập sâu hơn vào hệ thống và mất dữ liệu.

Kẻ tấn công bắt đầu bằng cách tạo một pull request có tiêu đề "docs: dependency audit notes" từ branch "wfx-docs" để kiểm tra quyền ghi vào kho lưu trữ. Họ đã mở các pull request thử nghiệm này trên 61.764 kho lưu trữ. SafeDep, một công ty bảo mật chuỗi cung ứng phần mềm, đếm được 8.093 kho lưu trữ nhận được các commit độc hại trong khoảng thời gian từ 12:46 UTC thứ Ba đến 04:36 UTC hôm nay. (Nguồn: https://therecord.media/attacker-used-4837-hijacked-github-accounts-to-run-a-ci-secret-stealer-in-1806-repositories)

Trong 7.309 kho lưu trữ, công cụ đánh cắp bí mật được thêm vào một workflow hiện có. Trong 771 kho lưu trữ khác, nó xuất hiện dưới dạng hook npm postinstall, cũng chạy trên máy của nhà phát triển khi cài đặt npm. Sau khi triển khai, kẻ tấn công thường xóa thay đổi trong vòng vài phút và xóa log của công cụ. Các kho lưu trữ bị ảnh hưởng cần coi mọi bí mật và quyền truy cập đám mây có sẵn cho các workflow là bị xâm phạm.

Dấu hiệu nhận biết một kho lưu trữ bị tấn công:

* Branch: wfx-docs * Branch: chore/[a-z0-9]{8} (ngắn hạn) * Branch: ci-check-[0-9]{4} * Tiêu đề pull request: docs: dependency audit notes * Commit message: ci: refresh build cache (thêm khoảng 1.500 dòng vào workflow) * Commit message: chore: add ci helper (thêm script .ci-xxxxxx.sh và hook postinstall trong package.json) * Commit message: chore: add dependency audit workflow (thêm .github/workflows/build-audit-xxxxxx.yml trên branch chore/) * Commit message: chore: initial commit (đẩy trước khi tạo file workflow mới trong kho lưu trữ trống) * Commit message: ci: restore hoặc ci: cleanup * SHA-256 (script đánh cắp): 89695abb392d5cfd4972672961e644bb46baa98aa1ed7173c2a2816c762735cf * IP: 194.150.166[.]244:8080/exfil * IP: 18.143.168[.]96:8080/exfil * IP: 153.75.82[.]159:8080

Câu hỏi thường gặp

Công cụ đánh cắp bí mật hoạt động như thế nào?

Công cụ này nhắm mục tiêu vào các quy trình CI/CD để trích xuất thông tin xác thực và token truy cập đám mây. Nó có thể đọc các tệp cấu hình cho AWS, Azure, GCP, Kubernetes và các công cụ khác, cũng như thu thập bí mật từ bộ nhớ của runner.

Kẻ tấn công đã xâm nhập vào bao nhiêu kho lưu trữ?

Kẻ tấn công đã triển khai công cụ đánh cắp bí mật vào hơn 1.806 kho lưu trữ. SafeDep phát hiện 8.093 kho lưu trữ nhận commit độc hại, nhưng con số thực tế có thể cao hơn.

Làm thế nào để biết một kho lưu trữ có bị ảnh hưởng không?

Hãy kiểm tra các branch, commit message và SHA-256 được liệt kê trong bài viết. Nếu tìm thấy, kho lưu trữ có thể đã bị xâm phạm.