Letzte Woche wurde eine seltene groß angelegte Angriffskampagne auf der GitHub-Plattform entdeckt. Diese von SafeDep-Sicherheitsforschern Megalodon getaufte Kampagne kompromittierte 5.561 Repositories in nur sechs Stunden.
Die Operation beruhte auf der Einschleusung von 5.718 böswilligen Commits, wobei gefälschte Bot-Identitäten verwendet wurden, um legitim zu wirken und sich diskret in die Arbeitsabläufe der Entwickler zu integrieren.
Wie konnte sich dieser Angriff so schnell ausbreiten?
Die Effektivität von Megalodon beruht auf der Angriffstechnik „Poisoned Pipeline Execution“.. Angreifer nutzten Repositorys mit schwachem Branch-Schutz aus, wodurch sie Schadcode direkt und ohne Überprüfung verbreiten konnten. Pull-Anfrageeine Validierung, die dennoch für die Sicherheit unerlässlich ist.
Die Commits, getarnt als CI-Wartungsupdates für kontinuierliche Integration und signiert von gefälschten Bots wie „build-bot“ oder „ci-bot“, modifizierten GitHub Actions-Workflow-Dateien.
Diese Dateien enthalten Base64-codierte Skripte, die dazu dienen, eine Reihe sensibler Daten während automatisierter Design- und Bereitstellungsprozesse herauszufiltern.
Welche Daten wurden ins Visier genommen und exfiltriert?
Nach der Ausführung exfiltrierte die Malware alle Umgebungsvariablen, AWS-, GCP- und Azure-Anmeldeinformationen, private SSH-Schlüssel, Docker- und Kubernetes-Konfigurationen sowie Dutzende anderer Arten von Geheimnissen.
Anschließend wurden die gestohlenen Daten komprimiert und per Anfrage versendet HTTPS-POST an einen Befehls- und Kontrollserver. Die Angreifer nutzten zwei Varianten der Schadsoftware.
Eine wurde immer dann aktiviert, wenn der Code geändert wurde, während die andere eine ruhende Hintertür war, die für mehr Diskretion bei Bedarf über die GitHub-API aktiviert wurde.
Sicherheit der Lieferkette
Durch den Megalodon-Angriff wurde das GitHub-Repository der Open-Source-Chatbot-Plattform Tiledesk kompromittiert, und der Betreuer veröffentlichte unwissentlich infizierte Versionen in der NPM-Registrierung, wodurch die Malware an Endbenutzer verbreitet wurde.
Cybersicherheitsexperten schlagen weiterhin Alarm Wir sind besorgt über Angriffe auf die Lieferkette und befürchten, dass die Zahl der Angriffe nur noch zunehmen wird.
