يكشف باحثو الأمن السيبراني في Radware عن حملة هجومية منسقة استهدفت 61 مستودعًا عامًا على GitHub، بما في ذلك مشاريع Open Source شهيرة مثل Google LangExtract وTrivy وBrave browser وMLflow. سجلت الحملة 83 هجومًا خلال أقل من ساعة واحدة في الأول من سبتمبر. يرجح الباحثون أن الهدف الأساسي كان شن هجوم على سلسلة التوريد (supply-chain attack) لسرقة بيانات الاعتماد ورموز الوصول من بيئات CI/CD.
كيف يعمل هذا الهجوم الخفي؟
يصف الباحثان Gabi Nakibly وZvika Babo من Radware سلسلة هجومية جديدة و«شديدة التخفي». يبدأ الهجوم عندما ينشر المهاجم «issue» أو «pull request» أو «تعليقًا» يحتوي على أوامر ضارة مخفية داخل تعليقات HTML، مما يضمن عدم ظهور المحتوى في الصفحة المعروضة للمستخدم.
- إذا كان المستودع مُعدًا للاستجابة لهذا النوع من الأحداث، يتم تشغيل تدفق العمل (workflow) تلقائيًا.
- يدمج تدفق العمل المحتوى الذي يتحكم فيه المهاجم مباشرة في كود Shell.
- يقوم Shell بتنفيذ الأمر الضار المخفي، الذي يجمع متغيرات البيئة ويحاول نقلها إلى خادم يتحكم فيه المهاجم.
تُشير Radware إلى أن 77 من هذه العناصر الضارة نُشرت في غضون 43 دقيقة، تلتها ستة عناصر أخرى في دقيقتين فقط، في الأول من سبتمبر، مما يؤكد التنسيق العالي للحملة. استخدم المهاجم 74 حسابًا مختلفًا على GitHub، يُعتقد أن العديد منها كانت مخترقة بعد أن كان لها سجلات تطوير مشروعة.
ما الذي يعنيه هذا للمطورين؟
- تطبيق مبدأ الحد الأدنى من الامتيازات (least-privilege access) على تدفقات عمل CI/CD.
- فصل تدفقات العمل التي تُشغّل بواسطة أحداث خارجية قدر الإمكان عن المهام ذات الامتيازات المرتفعة.
- يجب على المطورين التعامل مع المحتوى الخارجي على أنه غير موثوق به.
- تقييد الأسرار ومتغيرات البيئة المتاحة لتدفق العمل.
نرى أن هذه الهجمات تسلط الضوء على تزايد سعي المهاجمين لإيجاد طرق جديدة لسرقة بيانات الاعتماد والأسرار. هذه التوصيات ضرورية لضمان مرونة كود تدفق العمل ومناعته ضد مثل هذه الثغرات، خاصة وأن أي مستخدم لديه حساب GitHub يمكنه بسهولة محاولة شن هذا النوع من الهجوم.
المصدر: theregister.com