GitHub เจอแคมเปญ wfx-loot จ้องขโมยข้อมูลกว่า 60,000 Repositories

ผู้เชี่ยวชาญด้านความปลอดภัยหลายรายรายงานการตรวจพบแคมเปญโจมตีทางไซเบอร์ที่มุ่งเป้าไปยัง GitHub repositories มากกว่า 60,000 แห่ง โดยผู้บุกรุกใช้การเข้าถึงที่ถูกขโมยมาเพื่อแทรกโค้ดสำหรับขโมยข้อมูลระบุตัวตน (credential-stealing code) ลงในโปรเจกต์จำนวนมหาศาล

Aikido Security ระบุว่าปฏิบัติการนี้ถูกเรียกว่า wfx-loot เริ่มต้นขึ้นตั้งแต่วันที่ 10 พฤศจิกายนที่ผ่านมา โดยพบว่ามีบัญชี GitHub ที่ถูกเจาะประมาณ 4,800 บัญชี ถูกใช้ส่งข้อความทดสอบ (probe pull requests) ไปยัง repositories จำนวน 61,764 แห่ง เพื่อตรวจสอบสิทธิ์ในการแก้ไขข้อมูล

ทางด้าน StepSecurity อธิบายว่าตัว pull request ในขั้นแรกนั้นไม่ได้อันตรายโดยตรง แต่เป็นการตรวจสอบว่า repository ใดมีการอนุญาตที่เอื้ออำนวยต่อการติดตั้ง malware ในภายหลัง ซึ่ง Aikido พบสัญญาณว่าตัวขโมยข้อมูล (stealer) ได้เริ่มทำงานใน repositories แล้วกว่า 1,800 แห่ง ขณะที่ SafeDep นับ พบ public repositories ถึง 8,093 แห่งที่ถูกส่ง malicious commits เข้าไป

การโจมตีครั้งนี้ไม่ได้ใช้ช่องโหว่ (exploit) ของระบบ GitHub Actions แต่อย่างใด โดย StepSecurity ระบุ ว่าผู้บุกรุกใช้ access token ที่ถูกต้องของบัญชีนักพัฒนาและบัญชี bot ในการเข้าถึงระบบ

ผู้โจมตีจะฝัง malware ไว้ใน GitHub Actions workflows ทั้งแบบเดิมและสร้างใหม่ รวมถึงใช้ shell scripts ในระบบ CI และ npm installation hooks ซึ่งวิธีหลังนี้สร้างความเสี่ยงให้กับนักพัฒนาที่ติดตั้ง dependencies ในช่วงเวลาที่มีการเปลี่ยนแปลงโค้ดที่เป็นอันตรายด้วย

สคริปต์ดังกล่าวจะค้นหาทั้ง GitHub tokens, repository secrets, cloud credentials และ AI service keys นอกจากนี้ยังสามารถอ่านหน่วยความจำของ GitHub Actions runner และมีฟังก์ชันที่ออกแบบมาเพื่อขยายสิทธิ์การเข้าถึง (persistence) ในระบบ AWS และ Azure โดยมักจะมีการลบประวัติการรัน workflow เพื่อปกปิดร่องรอยความผิดปกติ

StepSecurity ตรวจพบร่องรอยของ probe pull requests จำนวน 173 รายการที่เชื่อมโยงกับ token ของ Fly.io GitHub app แต่ยังไม่สามารถระบุได้ว่าหลุดออกไปได้อย่างไร และยังไม่มีหลักฐานว่าโครงสร้างพื้นฐานของ Fly.io ถูกบุกรุก ทั้งนี้พบว่าซอฟต์แวร์ที่ได้รับผลกระทบรวมถึงแพ็คเกจ Packagist และ Go modules อีกสองตัว

Aikido ตั้งข้อสังเกตว่าแคมเปญนี้มีความคล้ายคลึงกับ GhostAction ที่เกิดขึ้นเมื่อเดือนตุลาคม แต่ประเมินว่าเป็นฝีมือของผู้โจมตีคนละกลุ่มกัน

ผู้เชี่ยวชาญเตือนให้องค์กรต่างๆ สันนิษฐานว่าข้อมูลความลับ (secrets) ทั้งหมดที่ malware เข้าถึงได้นั้นถูกเจาะแล้ว โดยแนะนำให้รีบเพิกถอน (revoke) tokens ที่ต้องสงสัย ทำการเปลี่ยน (rotate) secrets ใหม่ทั้งหมด และตรวจสอบความเปลี่ยนแปลงที่ผิดปกติในระบบคลาวด์อย่างละเอียด