แคมเปญ ‘wfx-loot’ นี้มุ่งเป้าไปที่ GitHub repositories นับหมื่นแห่ง โดยใช้ malicious workflows เพื่อขโมย GitHub Actions secrets และ cloud credentials
ตามข้อมูลจาก Aikido บริษัทด้าน Application Security ผู้โจมตีได้ใช้บัญชี GitHub ที่ถูกบุกรุกจำนวนมากในการเปิด pull requests เพื่อทดสอบว่ามีสิทธิ์ในการเขียนเพียงพอหรือไม่
การโจมตีเริ่มต้นเมื่อประมาณ 12:45 UTC ของวันที่ 10 พฤศจิกายน โดยผู้โจมตีใช้ข้อมูลรับรองที่ถูกขโมยจาก 4,837 บัญชี เพื่อสอดแนม 61,764 repositories และส่ง shell script ที่ใช้ขโมยข้อมูลนานถึง 1,500 บรรทัด
ข้อมูลที่ถูกขโมยนั้นรวมถึง environment variables, .env files, private keys และสามารถนำไปใช้ใน AWS เพื่อสร้าง IAM roles ใหม่ หรือใช้ใน GCP เพื่อปลอมตัวตนได้
รายละเอียดการโจมตี
ผู้โจมตีได้ปรับเปลี่ยน GitHub Actions workflow เดิม หรือติดตั้ง npm install hook เพื่อส่งมอบ payload ไปยัง Packagist และโมดูล Go ต่างๆ
เปิดเผยภัยคุกคามทางอีเมลที่การป้องกันเดิมอาจมองข้าม
Adaptive Security ใช้ AI agents วิเคราะห์เจตนา บริบท และพฤติกรรมของอีเมลเพื่อตรวจจับ phishing, business email compromise และ invoice fraud
ศัพท์ที่ควรรู้
- GitHub Actions – ระบบอัตโนมัติที่ทำงานบน GitHub ซึ่งอาจถูกใช้เป็นช่องทางในการโจมตี
- Cloud Credentials – ข้อมูลรับรองที่ใช้ในการเข้าถึงและควบคุมบริการคลาวด์ เช่น AWS หรือ GCP
- Pull Requests – คำขอที่ผู้ใช้ส่งไปยังเจ้าของ repository เพื่อขอให้รวมโค้ดของตนเองเข้าไปในโปรเจกต์
- IAM (Identity and Access Management) – ระบบจัดการตัวตนและการเข้าถึงที่ใช้ในการควบคุมสิทธิ์ในบริการคลาวด์ เช่น AWS
ที่มา: bleepingcomputer.com