Serangan Rantai Bekalan Megalodon GitHub: 5,718 Komit Berbahaya Menyerang 5,561 Repositori Dalam Masa Enam Jam

Operasi ini berjalan antara kira-kira 11:36 dan 17:48 UTC, menunjukkan sistem yang sangat automatik direka untuk menjejaskan sejumlah besar repositori dengan pantas sebelum penyelenggara menyedari perubahan.

Bagaimana penyerang menyuntik ribuan komit dengan begitu pantas

Kempen ini bergantung pada automasi dan penyamaran sosial untuk menjadikan komit berbahaya kelihatan seperti penyelenggaraan CI biasa.

Bot CI palsu dan akaun pakai buang

Penyerang mencipta akaun GitHub pakai buang dengan nama pengguna rawak dan identiti automasi palsu seperti:

• build-bot
• auto-ci
• ci-bot
• pipeline-bot

Identiti ini membuatkan komit kelihatan datang daripada sistem automasi rutin dan bukannya penyerang manusia.

Metadata komit dipalsukan

Data kepengarangan dan mesej komit direka bentuk agar kelihatan sah—selalunya menyerupai kemas kini aliran kerja rutin atau tweak konfigurasi CI. Ini membantu komit bergabung ke dalam aktiviti pembangunan biasa dan melambatkan syak wasangka.

Menyasarkan perlindungan cawangan yang lemah

Kempen ini memberi tumpuan kepada repositori di mana peraturan perlindungan cawangan lemah atau tiada. Tanpa semakan permintaan tarik wajib atau sekatan ke atas siapa yang boleh mengubah suai aliran kerja, penyerang boleh menolak perubahan aliran kerja terus ke cawangan lalai repositori.

Aliran kerja GitHub Actions beracun

Setiap komit berbahaya memasukkan fail aliran kerja GitHub Actions yang mengandungi muatan Bash yang dikodkan Base64. Apabila saluran paip CI dilaksanakan, skrip itu dijalankan dalam pelari GitHub Actions dan mula menuai kredensial.

Reka bentuk ini bermakna serangan selalunya kekal tidak aktif sehingga larian CI seterusnya mencetuskan aliran kerja.

Apa yang cuba dicuri oleh muatan itu

Skrip yang dikodkan Base64 yang tertanam dalam aliran kerja direka untuk mengumpul data sensitif daripada persekitaran CI dan menghantarnya ke infrastruktur yang dikawal penyerang.

Sasaran yang dilaporkan termasuk:

• Pembolehubah persekitaran CI/CD
• Kredensial pembekal awan (AWS, Google Cloud, Azure)
• Kunci SSH peribadi
• Token API dan rahsia aplikasi
• Token OIDC GitHub Actions
• Rahsia konfigurasi lain yang terdedah dalam persekitaran pelari

Perisian hasad itu mengumpul pembolehubah persekitaran, maklumat sistem, dan rahsia yang boleh diakses oleh pelari CI sebelum mengeksfiltrasinya ke pelayan arahan-dan-kawalan.

Oleh kerana saluran paip CI selalunya mengandungi kredensial penggunaan, menjejaskan persekitaran binaan boleh membuka laluan ke infrastruktur awan, pendaftaran pakej, dan penggunaan pengeluaran.

Mengapa mencuri token OIDC amat berbahaya

Objektif utama muatan Megalodon ialah token OIDC GitHub Actions.

Saluran paip CI/CD moden kerap menggunakan federasi OpenID Connect (OIDC) untuk mengesahkan ke pembekal awan tanpa menyimpan kredensial jangka panjang. Sebaliknya, aliran kerja meminta token identiti jangka pendek yang ditukar oleh pembekal awan untuk kredensial akses sementara.

Pendekatan ini meningkatkan keselamatan dengan menghapuskan kunci API statik atau kredensial akaun perkhidmatan. Walau bagaimanapun, ia memperkenalkan risiko baharu: jika penyerang boleh mencuri token semasa pelaksanaan saluran paip, mereka mungkin menyamar identiti kerja CI buat sementara waktu.

Oleh kerana token ini dipercayai oleh sistem identiti awan, token yang dicuri berpotensi ditukar untuk akses awan sementara dengan kebenaran yang sama yang diberikan kepada saluran paip penggunaan.

Ini bermakna aliran kerja CI yang terjejas boleh membawa kepada:

• akses infrastruktur awan
• rampasan saluran paip penggunaan
• pengambilan rahsia daripada perkhidmatan awan

Walaupun token OIDC tamat tempoh dengan cepat, kebenaran yang dilampirkan padanya masih boleh menjadikan akses jangka pendek sangat berharga bagi penyerang.

Mengapa serangan ini penting

Kempen Megalodon menggambarkan peralihan dalam serangan rantai bekalan daripada mengubah suai kod aplikasi kepada menjejaskan infrastruktur automasi.

Dengan menyasarkan aliran kerja CI dan bukannya kod sumber, penyerang boleh:

• mencuri kredensial secara automatik apabila saluran paip dijalankan
• mengakses sistem penggunaan dan persekitaran awan
• kekal tersembunyi di dalam perubahan automasi rutin

Oleh kerana ribuan repositori bergantung pada saluran paip CI dengan kredensial yang berkuasa, satu pengubahsuaian aliran kerja boleh mendedahkan rahsia merentas banyak sistem hiliran.

Adakah Megalodon dikaitkan dengan pelanggaran sambungan VS Code GitHub?

Pada masa yang sama, GitHub mendedahkan insiden keselamatan berasingan yang melibatkan sambungan Visual Studio Code beracun yang dipasang pada peranti pekerja. Sambungan berniat jahat itu membolehkan penyerang mengakses kira-kira 3,800 repositori dalaman GitHub sebelum kompromi itu dibendung.

Pelanggaran itu dikesan kepada persekitaran pembangun yang terjejas dan melibatkan penuaian kredensial melalui sambungan trojan yang diedarkan melalui pasaran VS Code.

Beberapa laporan keselamatan mencatat persamaan dalam masa dan taktik antara insiden itu dan serangan rantai bekalan lain yang menyasarkan alat pembangunan. Walau bagaimanapun, bukti awam belum mengesahkan bahawa pelanggaran dalaman GitHub secara langsung membolehkan kempen Megalodon.

Buat masa ini, kedua-dua insiden itu sebaiknya difahami sebagai peristiwa keselamatan rantai bekalan yang berasingan tetapi serentak yang menjejaskan ekosistem pembangun.

Pengajaran yang lebih luas untuk keselamatan CI/CD

Megalodon menunjukkan betapa cepatnya automasi boleh meningkatkan serangan rantai bekalan merentas ribuan repositori. Dengan menggabungkan bot yang disamar, komit automatik, dan aliran kerja CI beracun, penyerang mengubah infrastruktur binaan rutin menjadi sistem penuaian kredensial.

Insiden ini mengukuhkan beberapa keutamaan pertahanan untuk pasukan perisian:

• peraturan perlindungan cawangan yang ketat
• semakan wajib untuk perubahan aliran kerja
• kebenaran minimum untuk kerja CI
• pemantauan teliti akaun automasi dan kemas kini aliran kerja

Memandangkan saluran paip pembangunan semakin mengawal penggunaan awan dan infrastruktur pengeluaran, keselamatan aliran kerja CI/CD telah menjadi bahagian kritikal dalam pertahanan rantai bekalan perisian.