GitHub’da 4.837 hesap ele geçirildi: Sır hırsızı depolara yayıldı

GitHub’da 4.837 hesabın ele geçirilmesiyle bağlantılı bir saldırıda, hesapların yazma yetkisine sahip olduğu depolara sır hırsızı betikler yerleştirildi. Güvenlik şirketlerinin analizleri, zararlı değişikliklerin binlerce projeye ulaştığını ve GitHub Actions’tan bulut altyapılarına kadar farklı kaynaklardaki kimlik bilgilerini hedef aldığını gösteriyor.

Aikido Security, betiğin en az 1.806 depoda çalıştığını belirledi. SafeDep’in incelemesinde ise 8.093 depoda kötü amaçlı commit tespit edildi. İki sayı arasındaki fark, bir betiğin depoya eklenmesiyle gerçekten çalıştırılması arasındaki ayrımdan kaynaklanıyor: SafeDep’in verisi çalışıp çalışmadığına bakılmaksızın zararlı commit alan depoları kapsıyor.

İnceleme yalnızca herkese açık depoların ana dallarını içeriyor. Bu nedenle bulgular, etkilenen projelerin tamamını temsil etmeyebilir. Saldırganın yaptığı değişiklikleri kısa süre içinde geri alması ve çalıştırma kayıtlarını temizlemesi de olayın tespitini zorlaştırdı.

Önce erişim sınandı, ardından betik eklendi

Saldırı zincirinin başlangıcında, “docs: dependency audit notes” başlıklı deneme pull request’leri yer aldı. Bu istekler, hesapların depo içeriğini değiştirme yetkisi olup olmadığını kontrol etmek için kullanıldı. Benzer denemeler 61.764 projede görüldü; bunların bir bölümünde daha sonra sır toplayan kod devreye girdi.

SafeDep, kötü amaçlı betiğin 7.309 olayda mevcut GitHub Actions iş akışlarına eklendiğini saptadı. Ayrıca 771 olayda npm paketlerinin kurulum sonrasında otomatik kod çalıştırmasını sağlayan postinstall mekanizması kullanıldı. Bu yöntem, zararlı kodun yalnızca proje altyapısında değil, ilgili paketi kuran geliştiricinin bilgisayarında da çalışabilmesi anlamına geliyor.

Değişiklikler salı günü 12.46 UTC ile 12 Kasım 04.36 UTC arasında yapıldı. Saldırganın betiği çoğu durumda birkaç dakika içinde kaldırması, depoda sonradan yapılan incelemelerde iz bulmayı güçleştirdi. Ancak kodun silinmesi, çalıştığı sırada topladığı bilgilerin de geri alındığını göstermiyor.

Hedefte GitHub, bulut ve yapay zekâ anahtarları vardı

Betiğin topladığı veriler arasında GitHub Actions sırları, GITHUB_TOKEN, geçici OIDC bilgileri ve Actions Runtime token’ları bulunuyordu. Ayrıca yapay zekâ hizmetlerine ait anahtarlar ile AWS, Azure ve Google Cloud gibi bulut sağlayıcılarına yönelik kimlik bilgileri hedef alındı. Kubernetes, npm, PyPI ve SSH yapılandırmalarındaki veriler de toplananlar arasındaydı.

Kod, hassas anahtarlarla sınırlı kalmayıp depo içeriğini, son 100 commit’i ve yakın tarihli iş akışı çıktılarının bir bölümünü de kopyalayabiliyordu. Şirketlerin kendi altyapısında çalıştırdığı self-hosted runner’lar, saldırganlara daha fazla bilgi sunma riski taşıyordu. Bu makinelerde betik; sanal makine metaverisi, Docker konteyner bilgileri ve systemd yapılandırması gibi verilere de erişebiliyordu.

Toplanan bilgiler HTTP POST istekleriyle uzak sunuculara ya da Telegram’a gönderildi. İncelenen 200 kötü amaçlı commitin yaklaşık yüzde 20’sinde yalnızca Telegram kullanıldığı görüldü. Bu çeşitlilik, saldırının tek bir veri aktarım yöntemine bağlı olmadığını ortaya koyuyor.

Silinen commitler bulut riskini ortadan kaldırmıyor

OIDC token’larının çalınması, etkileri GitHub’ın ötesine taşıyabilir. Bu token’lar bulut servislerinde oturum açmak için kullanıldığından, saldırganın ele geçirdiği erişim bilgileri AWS, Google Cloud veya Azure kaynaklarına ulaşma riski doğurabilir. Benzer şekilde, npm ya da PyPI bilgileri paket yayımlama hesaplarını; SSH verileri ise başka sistemlere erişimi tehlikeye atabilir.

Depolarında beklenmedik pull request’ler veya commit’ler gören ekiplerin yalnızca zararlı kodu kaldırması yeterli olmayabilir. Etkilenen olabilecek anahtarların ve token’ların geçersiz kılınması, iş akışı kayıtlarının ve runner’ların incelenmesi, ayrıca hesap erişimlerinin kontrol edilmesi gerekir. Saldırıda değişikliklerin hızla geri alınmış olması, kısa süreli bir kod eklemesinin bile kalıcı erişim riski yaratabileceğini gösteriyor.