Gheist saldırısı çalınan GitHub erişim anahtarlarıyla gizli verileri hedef alıyor
Öne çıkanlar
- Saldırganlar 850'den fazla hesabı kullanarak 13 bin 500'ü aşkın zararlı dal oluşturdu.
- Zararlı iş akışları gizli anahtarları base32 formatına dönüştürerek GitHub'ın filtreleme sistemini atlatıyor.
- Genel depolardaki onay mekanizması saldırıyı engellerken özel depolar korumanın dışında kalıyor.
Siber güvenlik şirketi Wiz Research, çalınan GitHub erişim anahtarlarını kötüye kullanarak depolardaki gizli bilgileri sızdırmayı amaçlayan Gheist adlı otomatik bir saldırı dalgasını ortaya çıkardı. Saldırganlar, ele geçirilen hesaplar aracılığıyla depolara "sync-check" isimli zararlı iş akışları yüklüyor ve bu dosyalar depodaki tüm sırları iş akışı günlüklerine yazdırıyor. Dışarıdan komuta kontrol sunucusu kullanmayan yazılım, günlükleri GitHub API üzerinden indirip saniyeler içinde çalıştırılan görevi siliyor.
Araştırmacılar, 850'den fazla hesaptan açılan 13 bin 500'ü aşkın zararlı dal tespit etti. Saldırı kapsamında geliştirilen zararlı komut dosyaları, GitHub'ın günlük filtrelerini aşmak için gizli verileri base32 formatında kodlayarak açık metin eşleşmesini engelliyor. GitHub'ın genel depolara getirdiği onay mekanizması bu saldırıları genel projelerde durdursa da özel depolarda ve kurumsal GitHub ortamlarında saldırının başarıyla çalıştığı ve bazı AWS kimlik bilgilerinin ele geçirildiği aktarıldı.
Etkilenen hesapların aynı zamanda sahte yazılım dağıtımı, kripto para madenciliği ve PolinRider zararlısı gibi diğer siber faaliyetlerde de kullanıldığı belirlendi. Güvenlik uzmanları, kurumsal ekiplerin "ci-sync-" ile başlayan dalları ve "gheist" kullanıcı aracısını denetlemesini, etkilenen ortamlardaki tüm gizli anahtarları derhal yenilemesini ve OIDC izin politikalarını korumalı dallarla sınırlandırmasını tavsiye ediyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.