کمپین جدیدی تحت عنوان GhostAction با متصرف کردن دو حساب Maintainer، موفق به دسترسی به ۳۴۶ مخزن (Repository) در گیت‌هاب شده است. عامل تهدید با اضافه کردن یک ورک‌فلو (Workflow) جعلی تحت عنوان «audit امنیتی»، اقدام به سرقت اسرار CI/CD، کلیدهای ابری، توکن‌های API و اعتبارنامه‌های ذخیره شده در تاریخچه کد منبع (Source-code history) نموده است.
جزئیات فنی حمله و مکانیسم سرقت
بر اساس گزارش شرکت Socket، این فعالیت‌ها مخازنی را هدف قرار داده که به حساب‌های henrywoo و kitao متصل بودند. از جمله اهداف این حمله، مخزن uber/athenadriver متعلق به شرکت Uber و پروژه محبوب kitao/pyxel با بیش از ۱۸,۰۰۰ ستاره است. فایل مخرب با مسیر .github/workflows/security-audit.yml از طریق کامیت‌هایی با نام‌های «Add security audit workflow» و «Update security audit workflow» تزریق شده است.
این حمله نشان می‌دهد که دسترسی به یک حساب Maintainer می‌تواند بسیار فراتر از یک مخزن شخصی باشد؛ چرا که مهاجم می‌تواند در تمامی مخازنی که حساب مربوطه اجازه ویرایش دارد، ورک‌فلوهای GitHub Actions را اضافه کند. این ورک‌فلوها به صورت خودکار هنگام Push کد توسط توسعه‌دهندگان اجرا شده و اعتبارنامه‌های حساس CI/CD را در دسترس مهاجم قرار می‌دهند.
تحلیل پیشرفته‌تر: جستجو در تاریخچه Git
نسخه جدید GhostAction تغییر استراتژیک مهمی داشته است؛ این بدافزار اکنون علاوه بر فایل‌های فعال، کل تاریخچه Git را برای یافتن اسرار Hardcoded جستجو می‌کند. با استفاده از تنظیم fetch-depth: 0، مهاجمان کل تاریخچه مخزن را دانلود می‌کنند تا کلیدهایی را که ممکن است توسعه‌دهندگان در نسخه‌های فعلی حذف کرده اما در کامیت‌ها، شاخه‌ها (Branches) یا تگ‌های قدیمی باقی مانده باشند، استخراج کنند.
موارد مورد جستجو توسط این Payload عبارتند از:
- AWS access key IDs و AWS secret keys
- توکن‌های دسترسی GitHub و GitLab
- کلیدهای API گوگل، Slack، SendGrid و OpenAI
- توکن‌های Anthropic و OpenRouter
تاثیرات زنجیره تأمین (Supply Chain)
خطر این کمپین تنها به سرقت داده‌ها محدود نمی‌شود. دسترسی به اعتبارنامه‌های PyPI، npm، Docker Hub یا crates.io می‌تواند به مهاجم اجازه دهد تا به‌روزرسانی‌های مخربی را در قالب بسته‌های معتبر منتشر کند. این موضوع برای کتابخانه‌های متن‌باز (Open-source) بسیار خطرناک است، زیرا یک ریلیز مخرب می‌تواند به هزاران توسعه‌دهنده و سیستم‌های عملیاتی (Production) سرایت کند.
راهکارهای مقابله و توصیه‌های امنیتی
تیم‌های امنیتی و توسعه‌دهندگان باید اقدامات زیر را به سرعت اجرا کنند:
- ابطال اعتبارنامه‌ها: تمام نشست‌های (Sessions) گیت‌هاب، توکن‌های دسترسی شخصی (PAT)، مجوزهای OAuth و کلیدهای SSH را ابطال کنید.
- پاکسازی تاریخچه: کل تاریخچه Git را برای یافتن اسرار لو رفته اسکن کنید.
- مانیتورینگ شبکه: لاگ‌های شبکه را برای یافتن ترافیک ارسالی به IP مخرب
193.32.204[.]199بررسی کنید. - کنترل دسترسی: از قوانین سخت‌گیرانه برای تغییرات در مسیر
.github/workflows/استفاده کرده و اصل Least-Privilege را پیاده‌سازی کنید.
شاخص‌های آلودگی (IOCs)
- مسیر فایل‌های مخرب:
.github/workflows/security-audit.ymlو.github/workflows/github_actions_security.yml - پیام‌های کامیت: “Add security audit workflow” و “Update security audit workflow”
- IP مرکز فرماندهی (C2):
193.32.204[.]199
