Massale aanval via GitHub Actions: criminelen misbruiken gratis rekenkracht om cPanel-servers te kraken

583 kwaadaardige workflow-bestanden

In plaats van PHP te besmetten, plaatsten de aanvallers maar liefst 583 kwaadaardige GitHub Actions workflow-bestanden (.github/workflows/*.yml) in de broncode-repositories. Elk aangetast pakket bevatte tussen de 55 en 62 van deze bestanden. GitHub Actions-workflows zijn normaal gesproken handige YAML-bestanden voor geautomatiseerde taken, zoals het draaien van tests. De aanvallers maakten hier misbruik van.

Van workflow tot botnet

Zodra een workflow werd geactiveerd (bijvoorbeeld bij een push), gebeurde het volgende op de gratis Ubuntu-rekenkracht van GitHub :

1. Detecteren van het CPU-type van de runner.
2. Downloaden van een scan- en exploitatietool van een command & control-server (IP-adres 43[.]228[.]157[.]68).
3. Scannen van het internet op systemen met cPanel en WHM.
4. Automatisch aanvallen van kwetsbare systemen via het onderstaande lek.
5. Terugsturen van gestolen gegevens naar de server van de aanvallers.

Op deze manier werd elke geactiveerde workflow een scan- en aanvalsnode, en werd GitHub Actions een crimineel distributieplatform.

Het lek: CVE-2026-41940

Het doelwit van de campagne was CVE-2026-41940, een kritiek lek in cPanel en WebHost Manager (WHM).

• Type: Authenticatie-omzeiling vóór inloggen.
• Ernst: CVSS 9.8 (Kritiek).
• Oorzaak: Een CRLF-injectie in de cpsrvd-authenticatiehandler. Een aanvaller kan een speciaal geprepareerde Authorization-header sturen. Hierdoor kon men eigenschappen als user=root en hasroot=1 in een sessiebestand injecteren en zo volledige beheerdersrechten krijgen zonder wachtwoord.
• Patch: cPanel bracht een beveiligingsupdate uit op 28 april 2026. De aanvallers hadden dus maanden de tijd om de patch te analyseren en de aanval voor te bereiden.

Wat is er gestolen?

Op de gekraakte cPanel/WHM-servers werd een breed scala aan inloggegevens gestolen. Het ging om een opportunistische buit, zonder specifiek doel. :

• Cloud-sleutels: Amazon Web Services (AWS)-sleutels.
• Source control-tokens: GitHub- en GitLab-tokens.
• API-sleutels: OpenAI-, Google-API-sleutels.
• Betalingsverwerking: Stripe-sleutels.
• E-maildiensten: inloggegevens voor Mailgun, SendGrid en vergelijkbare diensten.
• Infrastructuur: SSH-privésleutels, database-inloggegevens.
• Configuratie: Git-remote-configuraties.

De echte omvang: duizenden repositories aangetast

De 583 workflow-bestanden in de 10 Packagist-pakketten waren slechts het topje van de ijsberg. Door te zoeken naar gedeelde patronen (zoals een callback-domein van DNSHook en code-hergebruik) ontdekten onderzoekers een veel grotere operatie :

• Ongeveer 6.100 workflow-bestanden waren direct aan dezelfde aanvallers te koppelen.
• Maar liefst 15.000 tot 16.000 workflow-bestanden op GitHub vertoonden overeenkomsten met de campagne.

Dit wijst er sterk op dat de aanvallers niet één, maar meerdere ontwikkelaarsaccounts en repositories hebben gekraakt. De campagne was een gecoördineerde actie, niet een eenmalige fout. Een eerdere aanval op Packagist in mei 2026, waarbij 8 pakketten werden besmet, past in dit patroon.

Blijvend risico: waarom de aanval nog niet voorbij is

De campagne is waarschijnlijk nog actief. De infrastructuur van de aanvallers is niet volledig uitgeschakeld.

• Forks en kopieën: Kwaadaardige workflows kunnen nog bestaan in geforkte of gekopieerde repositories.
• Caches: GitHub's eigen caches kunnen nog de oude, kwaadaardige versies bevatten.
• Gestolen gegevens: De buitgemaakte inloggegevens zijn nog in handen van de criminelen.
• Command & control-server: Het IP-adres 43[.]228[.]157[.]68 is mogelijk nog actief.

De omvang maakt het onmogelijk om alle sporen uit te wissen.

Wat je nu moet doen

Op basis van de analyses zijn de volgende stappen cruciaal :

1. Patch cPanel/WHM direct: Het lek CVE-2026-41940 is al sinds 28 april 2026 gedicht. Elk systeem dat niet is bijgewerkt, is een makkelijk doelwit.
2. Audit alle GitHub Actions-workflows: Controleer ieder workflow-bestand in je repositories, vooral als het:
   • Externe programma's downloadt en uitvoert.
   • Uitgaande netwerkverbindingen maakt.
   • Wordt geactiveerd door push of workflow_dispatch zonder handmatige controle.
3. Draai alle mogelijk gestolen sleutels: Ga ervan uit dat elk wachtwoord of elke sleutel op een gekraakte server is gestolen. Denk aan:
   • Cloud-sleutels (AWS, Google Cloud, Azure).
   • API-tokens (OpenAI, Google, Stripe).
   • SSH-sleutels en database-wachtwoorden.
   • Tokens voor versiebeheer (GitHub, GitLab).
4. Zoek naar bekende indicatoren: Controleer logs op verbindingen met het IP-adres 43[.]228[.]157[.]68 en het bekende DNSHook-domein.
5. Versterk beveiliging van repositories:
   • Gebruik branch protection-rules.
   • Eis ondertekende commits.
   • Voorkom automatische synchronisatie van pakketbeheerders zoals Packagist zonder tussenstap.
6. Controleer Packagist-ontwikkelversies: Bij het controleren van afhankelijkheden, kijk specifiek naar 'dev-master' of 'dev-main'-versies. De PHP-code kan veilig lijken, maar de aanval zit in de CI/CD-configuratie (.github/workflows/).