Uygulama güvenliği şirketi Aikido Security, bu hafta binlerce ele geçirilmiş GitHub hesabının AWS, Azure ve Google Cloud kimlik bilgilerini çalmak için kullanıldığını bildirdi. wfx-loot adı verilen kampanyada saldırganlar, CI işlem hatlarına gizli bilgi çalan bir kod enjekte etti. Saldırı, açık kaynak ekosistemini ve kurumsal depoları aynı anda hedef aldı.
Aikido’nun raporuna göre yaklaşık 4.800 GitHub hesabı ele geçirildi ve 60.000’den fazla depo yazma erişimi için tarandı. Bu rakamlar kolluk değil, güvenlik şirketinin tespiti. Firma, kampanyayı wfx-loot adıyla raporladı ve ayrıntılarını kamuoyuyla paylaştı.
Saldırganlar, ele geçirdikleri hesaplarla hedef depolara kötü amaçlı taahhütler ekledi. CI işlem hattı çalıştığında salgılayıcı, depo ortamındaki gizli anahtarları ve bulut kimlik bilgilerini çalmaya çalıştı. Bu yöntem, doğrudan sunuculara sızmak yerine yazılım geliştirme sürecini hedef alıyor. Bu yöntem, tedarik zincirinin en zayıf halkasını hedef alıyor.
BleepingComputer, gizli bilgilerin en az 1.835 hedefte çalındığını yazdı. The Hacker News, salgılayıcının en az 1.806 depoda çalıştığını aktardı. İki rakam farklı şeyleri ölçüyor ve birbiriyle karıştırılmamalı.
Ele geçirilen hesapların bir kısmı Fortune 100 şirketlerine, ABD Genel Hizmetler İdaresi’ne ve Fransız hükümetine aitti. Nextcloud ve WebdriverIO gibi açık kaynak projeleri de etkilenenler arasında. Bu dağılım, saldırının hedef yelpazesinin genişliğini ortaya koyuyor. Bu durum, saldırının yalnızca bireysel geliştiricileri değil kurumsal altyapıyı da hedeflediğini ortaya koyuyor.
Yaklaşık 50 hesap, npm, PyPI, Go, crates ve Packagist gibi paket ekosistemlerinde yayın hakkına sahipti. Bu, saldırının yazılım tedarik zincirine sıçrama riskini artırıyor. Ele geçirilen bir yayıncı hesabı, milyonlarca geliştiricinin kullandığı paketlere kötü amaçlı kod yerleştirmek için kullanılabilir.
SafeDep, 8.093 açık kaynak depoya kötü amaçlı taahhüt eklendiğini tespit etti. Bu rakam, salgılayıcının tüm bu depolarda çalıştığı anlamına gelmiyor. Yine de saldırının açık kaynak yüzeyinin ne kadar geniş olduğunu gösteriyor. Açık kaynak ekosisteminin genişliği, saldırının yayılma potansiyelini artırıyor.
The Hacker News, ilk analizini 12 Kasım’da düzeltti. İlk sürümde yalnızca iki adrese veri gönderildiği ve değişikliklerin bir dakika içinde geri alındığı yazılmıştı; ikinci analizde üçüncü bir sunucu ve bir Telegram kanalı tespit edildi. Bu düzeltme, saldırının altyapısının ilk düşünülenden daha geniş olduğunu gösteriyor.
Uzmanlar, etkilenen kullanıcıların tüm anahtarları ve belirteçleri döndürmesini öneriyor. Saldırının tam kapsamı, güvenlik firmalarının çelişen tespitleri nedeniyle henüz netleşmedi. GitHub hesap sahiplerinin güvenlik günlüklerini ve izinlerini gözden geçirmesi tavsiye ediliyor. Güvenlik araştırmacıları, benzer kampanyaların devam etme olasılığına karşı uyarıyor.