Хакеры воруют ключи к нейронкам и облачные пароли с GitHub — целью атаки на ресурс оказался далеко не ваш код или пет-проекты. Все гораздо серьезнее, чем пишут в СМИ. Рассказываем: • Начало: злоумышленники взяли украденные данные почти 5000 аккаунтов GitHub и с их помощью разослали по десяткам тысяч репозиториев скрипт, который ворует приватную инфу. • Атака началась 10 ноября, но новые пробные пулл-реквесты приходят даже после того, как хакеров спалили. • Охота идет не за кодом, а за ключами: паролями CI, облачными доступами, ключами к ИИ-сервисам, например, OpenAI, Anthropic, Hugging Face • Масштаб мощный: атаковали почти 62 000 репозиториев. Как минимум в 1800 из них вредоносный код запустился и отправил хакерам пароли. Исследователи из SafeDep отдельно насчитали еще 8000 репозиториев с вредоносными коммитами. • Сам вредонос выглядит как shell-скрипт на 1500 строк. Причем он подробно прокомментирован и никак не замаскирован. • Поймать хакеров реально сложно: уже через минуту скрипт удаляется и подчищает за собой все логи и workflow, откатывая изменения. Самое страшное: атака уже вышла за пределы GitHub. Заразили пакеты Packagist, теги в Go, данные WebdriverIO. Злоумышленники могли получить ключи к софту, который юзает миллионы людей. Что делать прямо сейчас: 1️⃣ Проверить, нет ли пропусков в номерах запусков workflow в GitHub Actions. Пропуск означает, что запуск удалили. 2️⃣ Сменить все пароли и облачные ключи. 3️⃣ Проверить политику доверия в AWS и учетки в Azure. Одной смены паролей и ключей может быть мало. 4️⃣ Любую машинку, на которую поставили зараженный пакет, считать взломанной! Держимся. 👍 Бэкдор
- 140
- 27
- 23
- 4