ทีมวิจัยระบุว่าการโจมตีนี้เป็นการดำเนินการที่ประสานงานกัน เนื่องจากมีการโพสต์ Payload ชนิดเดียวกันจากหลายบัญชี ในช่วงเวลาจำกัดไปยังโครงสร้างพื้นฐานเดียวกัน
ห่วงโซ่การโจมตีรูปแบบใหม่
หายอด้านักวิจัยชี้ว่า Workflow จะถูกทริกเกอร์ภายในหนึ่งวินาที และหาก Workflow นั้นมีช่องโหว่ การโจมตีก็จะสำเร็จ โดยนักโจมตีได้รวมเนื้อหาที่ควบคุมโดยผู้โจมตีเข้าไปใน shell source code ซึ่งจะรันคำสั่งที่เป็นอันตรายเพื่อดึงตัวแปรสภาพแวดล้อมและพยายามส่งข้อมูลไปยังเซิร์ฟเวอร์ของผู้โจมตี
รีโพซใดบ้างที่ได้รับผลกระทบ
รายงานของ Radware ได้ระบุถึงรีโพซยอดนิยมที่ถูกโจมตี เช่น agno-agi/agno และ ToolJet/ToolJet นอกจากนี้ยังรวมถึง QwenLM/qwen-code และ mlflow/mlflow ด้วย นักวิจัยเน้นย้ำว่าวิธีป้องกันที่ดีที่สุดคือการทำให้โค้ด Workflow มีความยืดหยุ่นและไม่เปิดช่องโหว่ต่อการโจมตีเช่นนี้ โดยแนะนำให้ใช้หลักการสิทธิ์น้อยที่สุด (least-privilege access) กับ CI/CD workflows
ศัพท์ที่ควรรู้
- Payload – ชุดข้อมูลหรือโค้ดที่เป็นอันตรายที่ถูกส่งไปเพื่อโจมตีระบบ
- Supply chain campaign – การโจมตีที่มุ่งเป้าไปที่จุดอ่อนในกระบวนการหรือซอฟต์แวร์ที่ถูกนำไปใช้งาน
- Workflow – กระบวนการทำงานอัตโนมัติที่ถูกตั้งค่าไว้ในระบบ เช่น GitHub Actions
- Environment variables – ตัวแปรที่เก็บค่าต่าง ๆ ไว้ในสภาพแวดล้อมของระบบ ซึ่งอาจมีข้อมูลสำคัญ
- CI/CD workflows – กระบวนการรวมและส่งมอบโค้ดอย่างต่อเนื่อง ซึ่งมักถูกใช้ในการทดสอบและติดตั้งซอฟต์แวร์
ที่มา: The Register