Un atacante utilizó 4.837 cuentas de GitHub secuestradas para ejecutar un programa de robo de secretos de CI en más de 1.806 repositorios.

Desde el martes, un atacante utilizó credenciales robadas de 4.837 cuentas de GitHub para instalar un programa malicioso de robo de secretos en repositorios a los que dichas cuentas tenían acceso de escritura, según Aikido Security, una empresa de software de seguridad.

El programa está diseñado para obtener los secretos y las credenciales en la nube a las que pueden acceder los flujos de trabajo de integración continua (CI) de un repositorio. Se ejecutó en al menos 1.806 repositorios, donde el atacante probablemente recopiló dichas credenciales, según la empresa.

Cada ataque comenzó con una solicitud de extracción titulada "docs: dependency audit notes", abierta desde una rama llamada "wfx-docs" para comprobar si la cuenta tenía permisos de escritura en el repositorio. Estas solicitudes de extracción de prueba se abrieron en 61.764 repositorios, y el programa malicioso se instaló en algunos de ellos.

En un análisis independiente, investigadores de SafeDep, empresa que comercializa herramientas de seguridad para la cadena de suministro de software, contabilizaron 8.093 repositorios que recibieron confirmaciones maliciosas entre las 12:46 UTC del martes y las 04:36 UTC de hoy. Ese recuento incluye todos los repositorios que recibieron confirmaciones maliciosas, no solo aquellos donde se ejecutó el programa malicioso. Su búsqueda abarcó únicamente las ramas predeterminadas de los repositorios públicos, por lo que el total real es mayor, según los investigadores.

En 7309 de esos repositorios, el programa malicioso se añadió a un flujo de trabajo existente. En 771, se introdujo como un hook postinstall de npm, que también se ejecuta en la máquina del desarrollador durante la instalación de npm.

Tras implementar el programa malicioso, el atacante solía revertir el cambio en cuestión de minutos. Donde se ejecutó el programa malicioso, sus registros se eliminaron, generalmente junto con la ejecución misma. En esos repositorios, todos los secretos y roles en la nube disponibles para los flujos de trabajo deben considerarse comprometidos.