Chiến dịch wfx-loot nhắm 60.000 kho GitHub để đánh cắp thông tin đăng nhập

Một chiến dịch tấn công có chủ đích đang nhắm vào các kho mã nguồn GitHub. Theo báo cáo từ nhiều hãng bảo mật, kẻ tấn công đã thử quyền truy cập bị đánh cắp trên hơn 60.000 kho GitHub và chèn mã đánh cắp thông tin đăng nhập vào hàng nghìn kho trong số đó.

Minh họa rủi ro bảo mật trong quy trình phát triển phần mềm

Chiến dịch wfx-loot bắt đầu từ ngày 10/11

Aikido Security cho biết chiến dịch mà hãng này gọi là wfx-loot khởi động từ ngày 10/11. Hãng đã xác định khoảng 4.800 tài khoản bị xâm phạm đứng sau các pull request thăm dò gửi tới 61.764 kho mã nguồn.

Những pull request này được dùng để kiểm tra xem quyền truy cập bị đánh cắp có cho phép thay đổi nội dung kho hay không. StepSecurity giải thích: "Bản thân pull request không làm gì cả". Mã độc chỉ được triển khai sau đó, tại những kho mà quyền hạn và cấu hình cho phép.

Aikido ghi nhận dấu hiệu cho thấy mã đánh cắp thông tin đã chạy trong hơn 1.800 kho. Trong khi đó, SafeDep đếm được 8.093 kho công khai nhận các commit độc hại – con số này không đồng nghĩa với việc mã độc đã thực thi thành công.

Không phải lỗ hổng của GitHub Actions

Điểm đáng chú ý là kẻ tấn công không khai thác lỗ hổng nào trong GitHub Actions. StepSecurity cho biết kẻ xâm nhập dựa vào các token hợp lệ thuộc về tài khoản nhà phát triển và bot.

Mã độc được đặt vào các workflow GitHub Actions có sẵn hoặc mới tạo, vào các shell script do hệ thống CI chạy, và vào các hook cài đặt của npm (npm installation hooks). Cách thức qua npm cũng gây rủi ro cho những nhà phát triển cài đặt dependency trong thời gian mã độc còn tồn tại.

Đoạn script tìm kiếm token GitHub, bí mật của kho (repository secrets), thông tin đăng nhập cloud và khóa dịch vụ AI. Nó còn đọc bộ nhớ tiến trình của GitHub Actions runner, đồng thời có chức năng mở rộng quyền truy cập và duy trì hiện diện trong AWS và Azure.

Kẻ tấn công thường hoàn tác các thay đổi mã và xóa các lần chạy workflow để che giấu hành vi.

Dấu vết từ token của Fly.io

StepSecurity truy vết được 173 pull request thăm dò gắn với các token do ứng dụng GitHub của Fly.io cấp. Hãng cho biết chưa xác định được cách các token này bị lấy, và không có bằng chứng cho thấy hạ tầng của Fly.io bị xâm nhập.

Các bản phát hành phần mềm bị ảnh hưởng bao gồm một gói trên Packagist và một số phiên bản của hai module Go.

Aikido nhận thấy những điểm tương đồng với chiến dịch GhostAction hồi tháng 10, nhưng đánh giá rằng hai chiến dịch có khả năng do các đối tượng khác nhau thực hiện.

Khuyến nghị xử lý

Hãng bảo mật cảnh báo các tổ chức nên coi mọi bí mật có thể truy cập được là đã bị xâm phạm nếu mã độc đã thực thi. Các tổ chức được khuyến nghị thu hồi token bị xâm phạm, xoay vòng các bí mật bị lộ và kiểm tra các thay đổi trái phép trên cloud.

Ảnh đại diện tác giả Eduard Kovacs

Góc nhìn

Sự việc cho thấy rủi ro lớn nhất trong chuỗi cung ứng phần mềm hiện nay không nằm ở lỗ hổng kỹ thuật mà ở danh tính bị đánh cắp. Chỉ cần một token còn hiệu lực, kẻ tấn công có thể hành động như một thành viên hợp pháp của dự án. Với các nhóm phát triển tại Việt Nam đang dùng GitHub Actions để tự động hóa build và triển khai, đây là lời nhắc để rà soát quyền hạn của token, thu hẹp phạm vi truy cập của workflow và không để bí mật cloud nằm dài hạn trong cấu hình kho.

Việc mã độc len vào cả npm installation hooks cũng đáng lưu tâm: một lần cài dependency trong thời điểm xấu có thể kéo theo toàn bộ bí mật của máy phát triển. Xoay vòng bí mật định kỳ và kiểm tra log các lần chạy workflow là những bước chi phí thấp nhưng giúp giảm đáng kể thiệt hại nếu sự cố tương tự xảy ra.