Datadog drošības pētnieki oktobrī pamanīja dīvainu modeli: veci, gadiem neizmantoti GitHub konti pēkšņi sāka sūtīt tūkstošiem API pieprasījumu, kas kartēja uzņēmumu organizācijas, to dalībniekus un repozitorijus. Novērošana turpinājās līdz šā gada janvāra sākumam, un attēls kļuva skaidrs — vairāk nekā 50 ghost kontu strādāja saskaņoti, lai savāktu izlūkdatus par uzņēmumu programmatūru.
Uzbrukuma trikss ir tas, ka liela daļa GitHub API atbild bez autentifikācijas. Uzbrucējam nevajag paroli, lai uzzinātu, kuri repozitoriji pieder organizācijai, kas ir tās dalībnieki, kurus projektus tie labo un kam seko. Šie paši pieprasījumi ieplūst starp parasto izstrādātāju datplūsmu un neizceļas.
Kā izskatās kampaņa
Datadog apraksta kontus, kas izveidoti pirms diviem līdz pieciem gadiem un pēc tam aktivizēti pēkšņos uzplūdos, kas ilga vienu līdz trīs nedēļas. Vārdu izvēle atkārtojās: prefikss amazon-data-*, -orb saime (piemēram, kuku-orb un lolo-orb) un secīgi lietotājvārdi kā user432023. Pieprasījumus tie sūtīja ar acīmredzami mākslīgiem User-Agent virknējumiem, tostarp GitHub-Company-Scraper, GitHub-Scraper-Tool/1.0, GitHubAnalytics/1.5 un repo-dumper.
Smagākā slodze krita uz /graphql, jo tas ļauj vienā pieprasījumā izvilkt datus par organizāciju, lietotājiem un repozitorijiem uzreiz. Bez tā tika aptaustīti REST ceļi, kurus varētu gaidīt no organizācijas kartēšanas: /organizations/:id un /organizations/:id/repos, kā arī lietotāju /followers, /following, /gists, /orgs, /repos un /starred. Pilnu tehnisko sadalījumu Datadog publicēja savā Security Labs rakstā.
No publiskiem datiem līdz privātam kodam
Ne visa aktivitāte apstājās pie publiskās informācijas. Daļā gadījumu uzbrucēji izmantoja nozagtus personīgos piekļuves marķierus (PAT) un OAuth marķierus no īstiem kontiem — desmitiem likumīgu lietotāju, kuru marķieri nejauši nonāca ārpusē vai tika nozagti. Ar tiem viens dokumentētais gadījums beidzās ar privāta repozitorija klonēšanu, ko audita žurnālā fiksēja git.clone un api.request notikumi uz privātiem ceļiem.
Šī datplūsma ieplūst starp parasto API lietojumu un tādēļ neizskatās aizdomīga, norādīja Datadog pētniece Džūlija Agnese Sparksa.
Situāciju sarežģī vēl viena GitHub īpatnība: ģeolokācijas datus platforma vāc tikai tad, kad kāds piekļūst privātam repozitorijam. Publiskās izpētes gadījumā aizsargiem paliek maz sliežu, pēc kurām atšķirt uzbrucēju no īsta izstrādātāja.
Kāpēc tas satrauc tieši tagad
GitHub ir vieta, kur glabājas gan atvērtais kods, gan liela daļa uzņēmumu iekšējās programmatūras. Kā InfoWorld citē Beauceron Security pārstāvi Deividu Šiplu, spiediens strādāt ātrāk un plašāka AI aģentu izmantošana kodā nozīmē, ka noplūdušo noslēpumu apjoms repozitorijos, visticamāk, tikai aug. Uzņēmuma dalībnieku, projektu un atkarību karte ir gatavs sākumpunkts mērķētai pikšķerēšanai vai piegādes ķēdes uzbrukumam.
Izlūkošana pati par sevi neizraisa trauksmi. Tieši tāpēc tā ir bīstama — kad pēc tam seko īsts uzbrukums, aizsargi jau ir palaiduši garām nedēļām ilgu sagatavošanās posmu.
Ko darīt aizsargiem
Datadog un aptaujātie speciālisti iesaka konkrētus soļus. Ieslēdz GitHub audita žurnālu straumēšanu un nosaki, kā izskatās normāla aktivitāte, lai novirzes kļūtu pamanāmas. Žurnālos meklē api.request notikumus ar public_repo:false un 2xx statusa kodu, kā arī git.clone uz privātiem repozitorijiem — tie liecina, ka marķieris piekļūst tam, kam nevajadzētu.
- Ieslēdz daudzfaktoru autentifikāciju visiem kontiem un pārskati, kam ir aktīvi PAT un OAuth marķieri.
- Atsauc un rotē marķierus, kuriem ir plašākas tiesības, nekā vajadzīgs; īslaicīgi marķieri ar šauru tvērumu samazina zaudējumus, ja tie noplūst.
- Skenē repozitorijus pēc atklātā teksta noslēpumiem, pirms to izdara kāds cits.
- Seko līdzi neparastiem
User-Agentvirknējumiem, kas uzdodas par iekšējiem rīkiem.
Neviens no šiem soļiem neaptur publiskās API izpēti pilnībā — to GitHub pieļauj pēc dizaina. Bet tie saīsina laiku no brīža, kad marķieris sāk uzvesties dīvaini, līdz brīdim, kad kāds to pamana. Šajā kampaņā tieši šis laiks bija tas, ko uzbrucēji izmantoja par labu sev.
Avoti
- Datadog Security Labs — Coordinated GitHub API enumeration and access token abuse
- InfoWorld — GitHub’s public APIs are becoming an enterprise reconnaissance tool
- The Hacker News — Dormant GitHub Accounts Help Attackers Blend In While Mapping Corporate Orgs
- Cybersecurity News — Hackers Turn 50+ Dormant GitHub Accounts Into a Network for Corporate Source Code Recon
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.