Un seul compte de développeur volé peut ouvrir la porte à des dizaines de dépôts. Les hackers semblent avoir trouvé le moyen de transformer cet accès en attaque de la chaîne d'approvisionnement à une tout autre échelle de grandeur.
Une campagne suivie sous le nom de wfx-loot a impliqué 4 837 comptes GitHub compromis et atteint 61 764 dépôts, selon les chercheurs en sécurité d'Aikido. Les attaquants ont utilisé des identifiants volés pour sonder les autorisations des dépôts et introduire des workflows GitHub Actions malveillants conçus pour dérober d'autres secrets.
Les chercheurs d'Aikido affirment que le malware collecte des informations sensibles, notamment des jetons d'accès GitHub et des identifiants cloud, ainsi que des clés API pour les services d'IA. Ses capacités s'étendaient également à la persistance, ce qui laisse penser qu'un pipeline de développement compromis pourrait devenir un point d'entrée à plus long terme dans l'infrastructure d'une organisation.
Comment des jetons volés ont ouvert l'accès à des milliers de dépôts
Les attaquants n'avaient pas besoin de compromettre chaque dépôt individuellement. Ils ont plutôt utilisé les identifiants GitHub volés de développeurs qui disposaient déjà d'un accès à plusieurs projets.
Un développeur peut contribuer à plusieurs dépôts open source tout en détenant des autorisations au sein de l'organisation GitHub de son employeur. Si les attaquants obtiennent les identifiants de ce développeur, ils peuvent accéder à plusieurs projets sans exploiter une vulnérabilité distincte dans chacun d'eux.
Selon Aikido, la campagne comprenait des pull requests suspectes intitulées « docs: dependency audit notes », que les chercheurs ont associées aux efforts des attaquants pour identifier des cibles potentielles. La première activité signalée par Aikido a été enregistrée le 10 novembre à 12:45 UTC.
La portée de la campagne était considérable, mais les chiffres communiqués décrivent différentes étapes de l'attaque. Aikido a identifié une activité impliquant 61 764 dépôts, tandis que SafeDep a signalé séparément 8 093 dépôts ayant reçu des commits malveillants.
Les chercheurs n'ont pas établi comment les attaquants avaient initialement obtenu les identifiants compromis. Le phishing, les malwares voleurs d'informations, les jetons exposés et les intégrations tierces restent des explications possibles, mais aucune ne doit être considérée comme confirmée.
Comment savoir si vous avez été touché
Aikido recommande aux développeurs et aux organisations de vérifier chaque dépôt GitHub dans lequel ils peuvent écrire, y compris ceux auxquels ils accèdent par l'intermédiaire d'autorisations de collaborateur ou d'organisation. Examinez l'activité du 10 novembre à la recherche des indicateurs suivants :
- Pull requests: docs: dependency audit notes
- Branches: wfx-docs, chore/[8 random characters] et ci-check-[4 digits]
- Messages de commit: ci: refresh build cache, ci: restore, chore: add ci helper, ci: cleanup et chore: add dependency audit workflow.
- Vous pouvez rechercher un script de vol avec ce hachage : 89695abb392d5cfd4972672961e644bb46baa98aa1ed7173c2a2816c762735cf
La découverte de la pull request utilisée pour sonder les dépôts suffit à justifier une intervention, même si rien d'autre ne s'est exécuté.
Si un malware s'est exécuté, partez du principe que les secrets et les identifiants cloud accessibles ont été exposés. Révoquez et remplacez les jetons et les clés API concernés, examinez les politiques IAM cloud et les configurations d'identité fédérée, puis inspectez les runners auto-hébergés et les machines des développeurs sur lesquelles des scripts npm malveillants ont pu s'exécuter.
Aikido recommande également à ses utilisateurs de consulter le flux de sécurité Aikido, de filtrer les problèmes liés aux malwares et de lancer une nouvelle analyse manuelle. Les personnes qui n'utilisent pas le service peuvent connecter leurs dépôts via son offre gratuite, qui inclut la détection des malwares.
Le véritable problème de sécurité, ici, c'est l'accès
Depuis le début des cyberattaques, une chose reste constante : les attaquants ont besoin d'un accès, et ils ont trouvé de nombreuses façons de l'obtenir.
Le phishing, les malwares voleurs d'informations et les identifiants exposés ne sont que quelques-unes des méthodes qu'ils utilisent. Nous ne savons toujours pas comment les attaquants de wfx-loot ont obtenu les jetons GitHub, mais ces pistes restent possibles. Les compromissions de dépôts ne sont pas non plus nouvelles dans le domaine de la cybersécurité.
Cette incertitude rappelle utilement aux entreprises qui s'appuient sur des développeurs que les développeurs sont des cibles de choix car leurs comptes peuvent ouvrir l'accès à bien plus que du code source.
Les organisations doivent considérer les comptes des développeurs et les workflows CI/CD comme des actifs de sécurité de grande valeur. Une authentification forte, des autorisations accordées selon le principe du moindre privilège, des révisions régulières des accès et des contrôles plus stricts sur les secrets des workflows peuvent contribuer à limiter les dégâts causés par des identifiants volés.
Les équipes de sécurité doivent également surveiller les modifications inhabituelles des dépôts, les changements inattendus des workflows et l'utilisation suspecte de jetons d'accès. Lorsque cela est possible, des identifiants à courte durée de vie et des autorisations strictement limitées peuvent réduire l'étendue des accès d'un attaquant.
La leçon de wfx-loot n'est pas simplement que les identifiants des développeurs peuvent être volés. C'est l'ampleur des dégâts que ces identifiants peuvent permettre lorsqu'un seul compte donne accès à tout un réseau de dépôts et de systèmes automatisés.
Des chercheurs de Cornell Tech et de Yale University ont constaté que des agents IA pouvaient contourner les plafonds de dépenses en cryptomonnaies en récupérant des codes de vérification envoyés par e-mail : neuf des dix modèles testés ont relevé leurs propres plafonds sans autre approbation humaine, exposant les faiblesses des dispositifs automatisés de sécurisation des paiements.