Chiến dịch Megalodon đầu độc hơn 5.500 kho lưu trữ GitHub

Chiến dịch Megalodon đầu độc hơn 5.500 kho lưu trữ GitHub

Một chiến dịch phần mềm độc hại tự động tên là Megalodon đã đẩy mã độc vào hơn 5.500 kho lưu trữ GitHub nhằm đánh cắp thông tin xác thực CI/CD. Các nhà nghiên cứu cảnh báo đây là một làn sóng tấn công chuỗi cung ứng mới, nhắm vào các nhà phát triển và các công ty sử dụng nền tảng đám mây.

Cuộc tấn công quy mô lớn

Vào thứ Hai vừa qua, một kẻ tấn công đã thực hiện hàng loạt commit độc hại lên hơn 5.500 kho lưu trữ trên GitHub trong khuôn khổ chiến dịch tự động mang tên Megalodon. Theo các nhà nghiên cứu từ SafeDep, người đã phát hiện ra các commit độc hại này và công bố danh sách đầy đủ các kho lưu trữ bị xâm phạm, chiến dịch mới này đã lây nhiễm 5.561 repo với phần mềm độc hại chuyên đánh cắp thông tin xác thực CI/CD.

Chiến dịch này có nét tương đồng với các cuộc tấn công trước đó của TeamPCP, từng đầu độc khoảng 3.800 kho lưu trữ GitHub. Moshe Siman Tov Bustan, nhà nghiên cứu chính tại Ox Security, cho biết nếu chủ sở hữu kho lưu trữ hợp nhất (merge) commit này, phần mềm độc hại sẽ thực thi ngay trong pipeline CI/CD của họ và tiếp tục lan rộng.

Mục tiêu và phương thức hoạt động

Megalodon được thiết kế để đánh cột các khóa bí mật (secret keys) của AWS và mã truy cập (access tokens) của Google Cloud. Ngoài ra, phần mềm này còn truy vấn siêu dữ liệu (metadata) của AWS, Google Cloud Platform và Azure để lấy thông tin xác thực của vai trò thể hiện (instance role credentials), đọc các khóa SSH riêng tư, cấu hình Docker và Kubernetes, mã thông báo Vault, thông tin xác thực Terraform và quét mã nguồn để tìm hơn 30 mẫu biểu thức chính quy (regex pattern) liên quan đến bí mật.

Sau đó, nó exfiltrate (tải trái phép) các mã thông báo GitHub, bao gồm các bí mật dùng để xác thực với các nhà cung cấp đám mây, cho phép kẻ tấn công mạo danh danh tính đám mây của các nhà phát triển, cùng với các mã thông báo Bitbucket.

Nói một cách đơn giản: Hãy coi như TẤT CẢ các biến CI/CD của bạn đã bị xâm phạm.

Một làn sóng tấn công chuỗi cung ứng mới

"Chúng ta đã bước vào một kỷ nguyên mới của các cuộc tấn công chuỗi cung ứng, và việc TeamPCP xâm phạm GitHub chỉ là sự khởi đầu," Bustan nói với The Register. "Điều sẽ đến tiếp theo là một làn sóng vô tận, một cơn sóng thần các cuộc tấn công mạng vào các nhà phát triển trên toàn thế giới."

Ông bổ sung thêm rằng việc tấn công GitHub "đ compromising tính bảo mật của mọi công ty có kho lưu trữ riêng tư được lưu trữ trên nền tảng này".

Mã độc vẫn đang tiếp cận các máy chủ của họ và không có gì ngăn chặn nó trước khi việc đó xảy ra. Bustan cho biết làn sóng tấn công chuỗi cung ứng mới này nhắm vào môi trường của các nhà phát triển sẽ không dừng lại cho đến khi "các công ty như npm và GitHub có hành động nghiêm túc chống lại sự lan truyền của mã độc trên máy chủ của họ".

Ông cũng nhắc đến tuyên bố của npm trên X về việc họ "đã vô hiệu hóa các mã thông báo truy cập chi tiết của npm có quyền ghi mà bỏ qua 2FA" để ngăn chặn các cuộc tấn công chuỗi cung ứng bổ sung như Mini Shai Hulud.

"Điều đó có thể giúp ích một chút trong việc ngăn chặn việc chiếm đoạt tài khoản, nhưng nó không giải quyết được vấn đề thực sự," Bustan nhận định. "Mã độc vẫn đang tiếp cận các máy chủ của họ và không có gì ngăn chặn nó trước khi việc đó xảy ra."

Lỗ hổng từ gói phần mềm Tiledesk

SafeDep đã phát hiện ra Megalodon được ẩn giấu bên trong một gói phần mềm hợp pháp: Tiledesk, một nền tảng chat trực tuyến và chatbot mã nguồn mở. Kẻ tấn công đã cài cửa sau (backdoor) các phiên bản từ 2.18.6 (ngày 19/5) đến 2.18.12 (ngày 21/5). Cùng một người bảo trì npm đã xuất bản phiên bản sạch cuối cùng là 2.18.5 trước khi vô tình xuất bản các phiên bản bị xâm phạm mới này.

"Kẻ tấn công chưa bao giờ chạm vào tài khoản npm," các nhà nghiên cứu từ startup bảo mật chuỗi cung ứng mã nguồn mở này cho biết. "Họ đã xâm phạm kho lưu trữ GitHub, và người bảo trì đã xuất bản từ nguồn bị đầu độc mà không hề hay biết."

Mặc dù việc xuất bản các gói độc hại trên npm là đặc điểm nhận dạng của TeamPCP, Bustan cho biết không có bằng chứng tình báo hay phân tích mã nào liên kết Megalodon với nhóm đứng sau các cuộc tấn công chuỗi cung ứng gần đây như Trivy, Checkmarx và những cái khác. "Phỏng đoán tốt nhất của chúng tôi hiện tại là đây là một tác nhân đe dọa khác đang sao chép hành vi và phong cách của họ, nhưng không phải chính mã của họ," ông chia sẻ.

Kẻ đứng sau là ai?

Các thợ săn mối đe dọa từ SafeDep đã truy dấu commit độc hại (acac5a9) về một tác giả có tên "build-bot", liên kết với địa chỉ email build-system[@]noreply.dev với thông điệp "ci: add build optimization step".

Tên tác giả và email noreply này bắt chước các commit CI tự động, và không có tài khoản GitHub nào được liên kết với các trường người dùng tác giả và người commit. "Ai đó đã đẩy commit này lên master mà không có PR và không có commit hợp nhất, sử dụng PAT (Personal Access Token) hoặc khóa triển khai bị xâm phạm," theo các nhà nghiên cứu.

Họ đã tìm kiếm trên GitHub các commit khác được thực hiện bởi cùng một địa chỉ email và tìm thấy 2.878 kết quả, cộng thêm một email thứ hai, [email protected], với thêm 2.841 commit. Tất cả đều được thực hiện vào ngày 18/5 trong khoảng thời gian sáu giờ (từ 11:36 đến 17:48 UTC) và nhắm vào 5.561 kho lưu trữ.

Điều này bao gồm chín kho lưu trữ Tiledesk bị xâm phạm: tiledesk-server, tiledesk-dashboard, tiledesk-telegram-connector, tiledesk-llm, tiledesk-docker-proxy, tiledesk-community-app, tiledesk-campaign-dashboard, tiledesk-helpcenter-template, và tiledesk-ai. Những mục tiêu khác bao gồm Black-Iron-Project với tám kho bị xâm phạm, WISE-Community và hàng trăm kho lưu trữ nhỏ hơn.