Saldırgan, ele geçirdiği 4837 GitHub hesabının yazma yetkisi olduğu depolara sır çalan bir betik yerleştirdi. Aikido Security’ye nazaran betik en az 1806 depoda çalıştı. SafeDep’in tahlili ise çok daha yüksek bir sayı verdi: 8093 depo.

SafeDep’in sayısı, çalışma fırsatı bulamayanlar da dahil, berbat maksatlı commit alan tüm depoları kapsıyor. Tarama sadece herkese açık projelerin ana dallarına baktığı için gerçek sayı daha yüksek olabilir. Değişiklikler, salı günü 12.46 UTC ile 12 Kasım 04.36 UTC arasında yapıldı.

GitHub hesapları nasıl kullanıldı

Her şey, wfx-docs dalından açılan ve başlığı «docs: dependency audit notes» olan bir deneme pull request’iyle başlıyordu. Saldırgan böylelikle ele geçirilmiş hesabın depo içeriğini değiştirip değiştiremediğini sınıyordu. Bu çeşit istekler 61.764 projede görüldü. Bir kısmında akabinde sır çalan betik eklendi.

SafeDep, betiğin 7309 olayda mevcut GitHub Actions iş akışlarına eklendiğini saptadı. Öteki 771 olayda npm postinstall üzerinden yayıldı. Bu, bir paket kurulurken kodun otomatik çalışmasını sağlayan bir sistem. Böylelikle kod sadece projenin bulut altyapısında değil, geliştiricinin kendi bilgisayarında da çalışabilirdi.

Saldırgan ekseriyetle birkaç dakika sonra değişiklikleri geri alıyordu. Betiğin çalışma kayıtları da çalıştırmalarla birlikte siliniyordu. Görünür bir iz olmaması, bilginin çalınmadığı manasına gelmiyor. Ele geçirilen GitHub hesapları bu sayede uzun mühlet fark edilmeyebilir.

Betik neleri topluyordu

• GitHub Actions sırları, GITHUB_TOKEN, süreksiz OIDC ve Actions Runtime token’ları
• Yapay zeka servislerinin anahtarları
• AWS, Azure, Google Cloud, Kubernetes, npm, PyPI ve SSH yapılandırma evraklarındaki bilgiler
• Depo içeriği, son 100 commit ve yakın tarihli iş akışı çıktıları

Şirketlerin kendi sunucularındaki self-hosted runner’larda betik ek bulut kimlik bilgilerine de uzanabiliyordu. Sanal makine metaverisi, Docker konteyner bilgileri ve systemd yapılandırması bunlar arasındaydı. Datalar HTTP POST ile uzak sunuculara ya da Telegram’a gönderildi. İncelenen 200 berbat emelli commitin yaklaşık %20’sinde sırf Telegram kullanıldı.

Bulutta kalıcılık riski

GitHub OIDC token’ı eline geçiren saldırgan bunları AWS, Google Cloud ve Azure oturumlarıyla değiştirebiliyordu. Kalıcı AWS anahtarları oluşturabiliyor, bulut rollerinin itimat siyasetlerini da değiştirebiliyordu. Azure’da wfx-ci- önekli federe kimlik bilgileri ekleyebiliyordu; bunlar iş akışlarının parolasız yetkilendirilmesine müsaade veriyor. Bu sistemler, birinci token’lar iptal edilip anahtarlar yenilense bile çalışmaya devam edebilir.

Aikido ayrıyeten Ekim ayındaki GhostAction akınıyla örtüşme buldu. O devir etkilenen GitHub hesapları, yeni kampanyaya yaklaşık 1000 kat daha sık dahil oldu. Şirket yeniden de iki saldırıyı birebir bireye bağlamıyor; araçlar ve altyapı farklıydı.

Kaynak: Shiftdelete