Η Wiz περιγράφει την καμπάνια Gheist, στην οποία επιτιθέμενοι χρησιμοποίησαν κλεμμένα tokens GitHub για να δημιουργήσουν μαζικά κλάδους με ονόματα που ξεκινούν από ci-sync- σε αποθετήρια θυμάτων. Οι κλάδοι περιείχαν ροές εργασίας GitHub Actions σχεδιασμένες να εμφανίζουν τα μυστικά του αποθετηρίου στα logs της εκτέλεσης, από όπου οι επιτιθέμενοι θα μπορούσαν να τα συλλέξουν. Σύμφωνα με τη Wiz, η καμπάνια σκόνταψε και δεν πέτυχε τον σκοπό της σε μεγάλη κλίμακα. Η εταιρεία συνιστά ανάκληση των tokens που μπορεί να έχουν εκτεθεί και αλλαγή όλων των μυστικών σε επηρεασμένα αποθετήρια.

Τι σημαίνει: Τα tokens πρόσβασης του GitHub είναι πλέον από τους πιο πολύτιμους στόχους, γιατί ανοίγουν τον δρόμο προς τον κώδικα αλλά και προς τα μυστικά που χρησιμοποιούν οι αυτοματοποιημένες ροές: κλειδιά cloud, κωδικούς βάσεων δεδομένων και διαπιστευτήρια για δημοσίευση πακέτων. Η τεχνική της καμπάνιας είναι απλή: αντί να κλέψουν απευθείας τα μυστικά, οι επιτιθέμενοι βάζουν το ίδιο το σύστημα ενσωμάτωσης να τα τυπώσει. Το ότι η καμπάνια δεν πέτυχε δεν σημαίνει ότι η επόμενη δεν θα πετύχει. Για τις ελληνικές εταιρείες λογισμικού και τις ομάδες ανάπτυξης, τα βασικά μέτρα είναι γνωστά αλλά συχνά δεν εφαρμόζονται: tokens με περιορισμένα δικαιώματα και ημερομηνία λήξης, αντί για κλασικά tokens χωρίς όρια, προστασία κλάδων ώστε οι ροές με πρόσβαση σε μυστικά να τρέχουν μόνο από εγκεκριμένους κλάδους και ειδοποιήσεις για νέους κλάδους ή ροές εργασίας που εμφανίζονται απρόσμενα. Επίσης, τα μυστικά στα logs αποκρύπτονται αυτόματα από το GitHub μόνο όταν εμφανίζονται αυτούσια, οπότε κωδικοποιημένες εκδοχές τους μπορούν να διαρρεύσουν. Όποιος βρει κλάδους ci-sync- που δεν δημιούργησε πρέπει να θεωρήσει τα μυστικά του αποθετηρίου εκτεθειμένα και να τα αλλάξει άμεσα.

Διαβάστε το πρωτότυπο στο Wiz

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις