Недавно в интернете произошло очередное нападение на открытый исходный код, используемый более чем 23 тысячами организаций по всему миру. Злоумышленники взломали аккаунт поддержки одного из популярных GitHub Actions — tj-actions/changed-files и заменили его содержимое на скрипт для кражи учетных данных.
GitHub Actions являются платформой для автоматизации процессов разработки программного обеспечения, включая CI/CD (Continuous Integration and Continuous Deployment). Они позволяют управлять сборкой, тестированием и деплоем проекта. В данном случае, злоумышленники заменили теги, которые используются для ссылок на определенные версии кода, на файл, который копирует внутреннюю память серверов и ищет в ней учетные данные.
После того, как эта новая версия была загружена, многие репозитории GitHub, использующие tj-actions/changed-files, начали отображать свои самые конфиденциальные учетные данные в логах. Это может привести к утечке чувствительной информации.
Инцидент был обнаружен компанией StepSecurity путем анализа сетевого трафика. В результате были обнаружены десятки репозиториев, включая некоторые крупные предприятия, которые использовали злоумышленнический GitHub action.
Специалисты по безопасности рекомендуют пользователям проверить свои системы на наличие признаков компрометации и использовать криптографические хеши вместо тегов для ссылок на уже проверенный ранее код.