Valtava toimitusketjuhyökkäys käytti GitHub Actionsia cPanel-palvelinten murtamiseen – 583 haitallista työnkulkutiedostoa löydetty

583 haitallista työnkulkutiedostoa

Hyökkäyksen ydin ei ollut PHP-koodissa; PHP-kirjastot pysyivät vaarattomina . Sen sijaan hyökkääjät lisäsivät 583 haitallista GitHub Actions -työnkulkutiedostoa (.github/workflows/*.yml) kehittäjän lähderepositorioihin. Jokainen saastutettu pakettiversio sisälsi 55–62 tällaista tiedostoa . GitHub Actions -työnkulut ovat YAML-tiedostoja, jotka määrittelevät automaattisia tehtäviä. Hyökkääjät ohjasivat tätä legitiimiä automatisointi-infrastruktuuria omiin tarkoituksiinsa.

Haitallinen mekanismi

Kun forkkaus tai kopio vaarannetusta repositoriosta käynnisti työnkulun (esimerkiksi push-tapahtuman yhteydessä), haitallinen .yml-tiedosto ohjeisti GitHubin Ubuntu-ajuria :

1. Tunnistamaan ajurin suoritinarkkitehtuuri.
2. Lataamaan skannaus- ja hyväksikäyttökuorman C2-palvelimelta osoitteesta 43[.]228[.]157[.]68.
3. Skannaamaan internetiä cPanel- ja WHM-palvelimia löytääkseen.
4. Hyödyntämään automaattisesti löydettyjä järjestelmiä käyttäen alla kuvattua haavoittuvuutta.
5. Varastamaan tiedot takaisin C2-palvelimelle.

Tämä muutti jokaisen käynnistetyn työnkulun skannaus- ja hyväksikäyttösolmuksi, käyttäen GitHubin ilmaista infrastruktuuria hajautettuna hyökkäysalustana .

Haavoittuvuus: CVE-2026-41940

Kampanjan kohteena oli CVE-2026-41940, kriittinen haavoittuvuus cPanelissa ja WebHost Managerissa (WHM) .

• Tyyppi: Tunnistautumista edeltävä autentikoinnin ohitus .
• Vakavuus: CVSS 9.8 (kriittinen) .
• Perussyy: CRLF (Carriage Return Line Feed) -injektio cpsrvd-palvelun perusautentikointikäsittelijässä . Tunnistautumaton hyökkääjä voi lähettää muokatun Authorization-otsikon, joka sisältää raakoja rivinvaihtomerkkejä. Tämä mahdollistaa mielivaltaisten ominaisuuksien injektoinnin istuntotiedostoon, kuten user=root ja hasroot=1, jolloin hyökkääjä saa pääkäyttäjän oikeudet WHM-liittymään ilman salasanaa .
• Korjauspäivä: cPanel julkaisi tietoturvapäivityksen 28. huhtikuuta 2026 . Hyökkääjillä on siis ollut useita kuukausia aikaa analysoida korjausta ennen kampanjan alkua.

Varastetut tiedot

Hyökkäyksen onnistuessa varastettiin laaja valikoima tunnuksia ja salaisuuksia. Ensisijaisia kohteita olivat :

• Pilviympäristöjen tunnukset: Amazon Web Services (AWS) -avaimet.
• Lähdekooditunnukset: GitHub-tunnukset, GitLab-tunnukset.
• API-avaimet: OpenAI, Google API -avaimet.
• Maksun käsittely: Stripe-avaimet.
• Sähköpostipalveluiden tunnukset: (esim. Mailgun, SendGrid).
• Infrastruktuuri: SSH-avaimet, tietokantatunnukset.
• Asetustiedot: Git-remote-asetukset.

Näin laaja tunnusten varastaminen viittaa tieto-agnostiseen, opportunistiseen yritykseen kerätä kaikki arvokkaat pääsytunnukset vaarannetusta palvelimesta .

Kampanjan laajuus: Tuhansia repositorioita vaarantuneena

583 työnkulkutiedostoa 10 Packagist-paketissa olivat vasta alkua. Tutkimalla hyökkääjien indikaattoreita, kuten jaettua DNSHook-paluuosoitetta ja koodin uudelleenkäyttömalleja, tutkijat paljastivat paljon laajemman operaation :

• Noin 6 100 työnkulkutiedostoa oli suoraan yhteydessä samaan alkuperäiseen hyökkääjäinfrastruktuuriin .
• Noin 15 000–16 000 työnkulkutiedostoa GitHubissa vastasi kampanjan malleja .

Tämä valtava ero viittaa vahvasti siihen, että hyökkääjät vaaransivat paljon enemmän kehittäjätilejä ja repositorioita kuin pelkän dinushchathurya-tilin . Kyse ei ollut yhden pisteen epäonnistumisesta, vaan koordinoidusta, useita tilejä käsittävästä operaatiosta. The Hacker News raportoi jo toukokuussa 2026 erillisestä Packagist-toimitusketjuhyökkäyksestä, jossa vaarantui 8 pakettia ja jossa oli samankaltaisia haitallisia elementtejä . Tämä korostaa ekosysteemin haavoittuvuutta.

Jatkuva uhka: Miksi kampanja on todennäköisesti edelleen aktiivinen

Kampanja on jatkuva uhka, koska hyökkääjän infrastruktuuria ei ole täysin neutraloitu. Kampanja saattaa jatkua :

• Forkkien ja peilien kautta: Haitalliset työnkulkutiedostot saattavat olla tallennettuna forkattuihin tai peilattuihin kopioihin vaarannetuista repositorioista.
• Välimuistit: GitHubin omat välimuistit saattavat sisältää haitalliset työnkuluversiot.
• Varastetut tunnukset: Varastetut tunnukset ovat edelleen hyökkääjän hallussa ja niitä voidaan käyttää lateraaliseen liikkumiseen tai tuleviin hyökkäyksiin.
• Toimiva C2-infrastruktuuri: C2-palvelin (43[.]228[.]157[.]68) saattaa olla edelleen toiminnassa ja vastaanottaa aktiivisesti tietoa .

Vaikka alkuperäisen kehittäjän Packagist-tili on jäädytetty, kampanjan laaja jalanjälki (jopa ~16 000 työnkulkutiedostoa) tarkoittaa, että sitä on vaikea hävittää kokonaan .

Tarvittavat suojatoimet

Julkaistun analyysin perusteella organisaatioiden ja kehittäjien tulisi toimia välittömästi seuraavasti :

1. Päivitä cPanel/WHM välittömästi: CVE-2026-41940 korjattiin 28. huhtikuuta 2026. Mikä tahansa cPanel- tai WHM-asennus (versiot 11.40 jälkeen), jota ei ole päivitetty, on triviaalisti hyväksikäytettävissä tunnistautumattoman etähyökkääjän toimesta. Tämä on tärkein yksittäinen toimenpide.
2. Tarkasta kaikki GitHub Actions -työnkulut: Tutki kaikki repositorioidesi työnkulkutiedostot, erityisesti ne, jotka:
   • Lataavat ja suorittavat ulkoisia binääritiedostoja.
   • Muodostavat ulospäin suuntautuvia verkkoyhteyksiä.
   • Käynnistyvät push- tai workflow_dispatch-tapahtumien yhteydessä ilman manuaalista tarkistusta.
   • Ovat kehitys- tai ominaisuushaaroissa, jotka paketinhallinta saattaa synkronoida automaattisesti.
3. Vaihda kaikki altistuneet tunnukset: Oleta, että jokainen vaarannetulla cPanel/WHM-palvelimella ollut tunnus on varastettu. Tämä koskee erityisesti:
   • Pilvipalveluiden avaimia (AWS, GCP, Azure).
   • API-tunnuksia (OpenAI, Google, Stripe).
   • SSH-avaimia ja tietokantasalasanoja.
   • Lähdekoodin hallinnan tunnuksia (GitHub, GitLab).
4. Tarkista tunnetut kompromissin indikaattorit (IOC:t): Etsi lokitiedoistasi verkkoyhteyksiä hyökkääjän C2-IP-osoitteeseen (43[.]228[.]157[.]68) ja tunnettuun DNSHook-paluuosoitteeseen .
5. Paranna repositorioiden ja paketinhallinnan turvallisuutta:
   • Ota käyttöön haarojen suojaussäännöt kaikille kehityshaaroille.
   • Vaadi allekirjoitetut sitoumukset.
   • Vältä pakettirekistereiden (kuten Packagist) automaattista synkronointia repositoriohaaroista ilman tarkistusvaihetta .
6. Tarkista Packagistin kehitysversiot: Kun tarkastat riippuvuuksia, tutki erityisesti kehitysversioita (dev-master, dev-main) odottamattomien .github/workflows/-tiedostojen varalta, sillä PHP-koodi saattaa olla puhdas, mutta hyökkäys piilee kokonaan CI/CD-asetuksissa .