Ataque usa 4.837 contas comprometidas do GitHub para buscar credenciais
Ataque usou 4.837 contas comprometidas para instalar um espião em ao menos 1.806 repositórios e buscar credenciais de desenvolvimento.
Como o ataque testou as contas
Um ataque ao GitHub usou credenciais roubadas de 4.837 contas para instalar um programa espião em pelo menos 1.806 repositórios, segundo a Aikido Security. A ação começou na terça-feira com testes em 61.764 repositórios, para verificar quais contas tinham permissão de escrita.
Os pedidos de alteração enviados pelas contas roubadas usavam o título “docs: dependency audit notes”. Os números divulgados abrangem apenas repositórios públicos que a empresa conseguiu examinar; em muitos dos demais repositórios testados, o programa não foi enviado ou não executou por causa das configurações ou das permissões das contas.
Depois da instalação, o responsável pelo ataque desfazia a alteração em até um minuto e geralmente apagava a execução do programa e seus registros. Como a mudança podia ser removida rapidamente, a Aikido recomenda considerar comprometidas as contas que enviaram os pedidos de teste, mesmo que a alteração não esteja mais visível.
Nos repositórios em que o programa foi executado, a Aikido também orienta tratar como expostas todas as credenciais acessíveis aos processos automatizados de desenvolvimento. Essa orientação se refere ao que estava disponível para esses processos, e não afirma que todas as senhas de cada conta ou repositório tenham sido expostas.
Dados e credenciais procurados
O programa busca credenciais de serviços em nuvem, chaves de inteligência artificial e arquivos de ferramentas de desenvolvimento. Também copia o repositório, seus últimos 100 registros de alterações e arquivos produzidos por processos recentes, ampliando os dados potencialmente acessíveis além de senhas isoladas.
Algumas funções foram projetadas para manter o acesso mesmo depois da troca de credenciais. Na Amazon Web Services, o programa pode alterar permissões ou criar chaves de acesso duradouras; no Azure, pode adicionar credenciais de identidade a aplicações.
Pacotes e versões afetadas
A campanha chegou a pelo menos um pacote do Packagist e a um módulo da linguagem Go. A Aikido considera maliciosa a versão 3.14.3 do pacote digitalelvis/neuronai-studio e recomenda tratar como comprometida qualquer máquina que a tenha instalado ou aberto.
Duas versões do módulo github.com/onuragtas/docker-env, v1.0.278 e v1.0.280, incluem o programa apenas em um arquivo de automação. O código e os arquivos executáveis não foram alterados; como a compilação em Go não executa arquivos de automação, usuários do módulo podem não ter sido afetados. Ainda assim, a Aikido recomenda remover essas versões.
Relação com outras campanhas
Algumas contas usadas neste ataque também apareceram na campanha GhostAction, em outubro. A Aikido não atribuiu as duas ações ao mesmo responsável e apontou diferenças na infraestrutura, nas ferramentas e nos métodos.
Apoie o Guia de TI
Compartilhar
Autor
Comentários
0Comece a conversa.
Seja a primeira pessoa a comentar este conteúdo.