SİBER GÜVENLİK· 1 dk okuma
Gheist kampanyası çalıntı GitHub tokenlarıyla Actions loglarından sır topluyor
Wiz araştırmacıları, 15 Eylül'den beri izledikleri Gheist kampanyasında saldırganların çalıntı GitHub tokenlarıyla erişebildikleri her repoya sync-check adlı bir iş akışı eklediğini açıkladı. İş akışı repo sırlarını Actions loguna döküyor, saldırgan logu API ile indirip çalıştırmayı siliyor.
// kısaca
- Wiz, 850'den fazla ele geçirilmiş hesaptan 13.500'den fazla ci-sync- dalı topladı; kampanya 24 Ekim itibarıyla sürüyordu.
- Sırlar base32 ile kodlanarak yazdırılıyor, bu yüzden GitHub'ın maskelemesi devreye girmiyor; saldırgan tarafında bağlantı kurulmadığı için engellenecek bir alan adı da yok.
- GitHub'ın 28 Temmuz'da getirdiği onay bekletmesi yalnızca github.com'daki herkese açık repoları kapsıyor; Wiz özel repolarda ve GitHub Enterprise ortamlarında başarılı sömürü gördü.
- Tokenların kaynağı büyük olasılıkla bilgi hırsızı yazılım kayıtları ve önceki tedarik zinciri saldırıları.
Wiz Research'e göre Gheist, iki araç varyantıyla çalışıyor. İkinci varyant ortam kapsamlı sırları da döküyor ve self-hosted runner üzerinde token, özel anahtar, .env dosyası ile bulut ve Kubernetes kimlik bilgisi arıyor. Wiz bu runner işinin hatalı olduğunu ve başarılı bir çalıştırma görmediğini yazıyor.
Wiz'in aktardığına göre iz sürmek için ci-sync- ile başlayan dalları, sync-check.yml commitlerini ve denetim kayıtlarındaki gheist kullanıcı aracısını aramak gerekiyor. Dalı ya da çalıştırmayı silmek sızan sırrı geri almıyor; sırların rotasyonu şart.
Ne yapmalı?
Etkilenmiş olabilecek repoların erişebildiği tüm sırları döndür ve push eden tokenları iptal et. ci-sync- dallarını ve sync-check.yml dosyasını ara. Tokenı olan geliştiricilerin cihazlarında bilgi hırsızı yazılım kontrolü yap. Üretim sırlarına sahip ortamlarda zorunlu onaycı iste, OIDC güvenini korumalı dallara sınırla, kişisel erişim tokenı yerine GitHub App ya da kısa ömürlü ince ayarlı token kullan.
// kaynaklar
- Gheist: Attempted Scaled Abuse of Stolen GitHub Tokens Stumbles · Wiz Research ↗
- Gheist Uses Stolen GitHub Tokens to Steal Private Repository Secrets via Actions Logs · The Hacker News ↗
- Wiz says stolen GitHub tokens let attackers dump secrets through Actions logs · Runtime Wire ↗
Bu haber yukarıdaki kaynaklardan derlenmiş kısa bir özettir. Ayrıntı ve güncellemeler için kaynaklara bak.