GhostAction compromete unas 1.900 cuentas de GitHub y ataca a más de 30.000 repositorios

Una cam­pa­ña de robo de cre­den­cia­les de­no­mi­na­da Ghos­tAc­tion ha in­ten­si­fi­ca­do sus ope­ra­cio­nes con­tra la in­fra­es­truc­tu­ra de de­sa­rro­llo en GitHub, afec­tan­do a miles de cuen­tas y re­po­si­to­rios. Los in­ves­ti­ga­do­res de se­gu­ri­dad de­tec­ta­ron un in­cre­men­to im­por­tan­te en esta ac­ti­vi­dad, el cual se de­ri­vó de la vul­ne­ra­ción de miles de cuen­tas de usua­rio.

Los ata­can­tes lo­gran ob­te­ner per­mi­sos de es­cri­tu­ra en los re­po­si­to­rios uti­li­zan­do to­kens de ac­ce­so per­so­nal ro­ba­dos o cre­den­cia­les ex­traí­das de re­gis­tros de pro­gra­mas ma­li­cio­sos de tipo in­fos­tea­ler. Va­lién­do­se de estas cuen­tas de man­te­ni­mien­to se­cues­tra­das, los ope­ra­do­res in­tro­du­cen ar­chi­vos de au­to­ma­ti­za­ción ma­li­cio­sos en los flu­jos de tra­ba­jo de GitHub Ac­tions, ocul­tán­do­los bajo nom­bres en­ga­ño­sos re­la­cio­na­dos con au­di­to­rías o se­gu­ri­dad.

El ob­je­ti­vo prin­ci­pal de esta cam­pa­ña es la sus­trac­ción a gran es­ca­la de se­cre­tos de in­te­gra­ción y des­plie­gue con­ti­nuo, cre­den­cia­les de ser­vi­cios en nube, to­kens de re­gis­tros de pa­que­tes y cla­ves de API de in­te­li­gen­cia ar­ti­fi­cial. Esta nueva olea­da ha pre­sen­ta­do un com­por­ta­mien­to cam­bian­te en su carga útil, in­cor­po­ran­do ca­pa­ci­da­des para es­ca­near el his­to­rial de git en busca de di­fe­ren­tes tipos de cla­ves y se­cre­tos, así como la re­co­lec­ción de con­tex­to para aso­ciar­las co­rrec­ta­men­te.

A pesar de que las car­gas ma­li­cio­sas se des­ple­ga­ron en múl­ti­ples fases afec­tan­do a un gran vo­lu­men de re­po­si­to­rios, la pla­ta­for­ma GitHub co­men­zó a blo­quear la eje­cu­ción de estos flu­jos de tra­ba­jo, im­pi­dien­do que las olea­das pos­te­rio­res lo­gra­ran ex­traer in­for­ma­ción. Asi­mis­mo, se de­tec­tó que al­gu­nos de los afec­ta­dos ya ha­bían sido com­pro­me­ti­dos en cam­pa­ñas pre­vias, lo que su­gie­re que los ata­can­tes se apro­ve­chan de cre­den­cia­les que no han sido ro­ta­das.