Private repos still leak secrets to Gheist, a stolen GitHub token campaign - Help Net Security
Campaña 'Gheist' roba claves de repositorios privados en GitHub usando tokens robados
Investigadores de Wiz detectaron una campaña que utiliza tokens robados para infiltrar procesos automáticos en GitHub y extraer credenciales de entornos de producción.
La campaña, denominada Gheist, ha logrado comprometer más de 850 cuentas de GitHub, recuperando más de 13.500 ramas (branches) plantadas por los atacantes. El método consiste en usar un token robado para acceder a todos los repositorios disponibles y crear un flujo de trabajo (workflow) malicioso en cada uno de ellos.
El ataque se aprovecha de una debilidad en los repositorios privados: mientras GitHub bloquea estas acciones en proyectos públicos, en los privados los procesos se ejecutan sin aprobación. El código de ataque crea una rama con un nombre aleatorio (como ci-sync- seguido de seis caracteres) y ejecuta un proceso que codifica las claves secretas en formato base32 (una forma de convertir texto a caracteres legibles para máquinas) para evadir los filtros de seguridad de GitHub que normalmente ocultan las contraseñas en los registros.
Una vez que el proceso imprime las claves en los registros (logs), la herramienta las descarga mediante la API de GitHub y borra el rastro segundos después. Además, se detectó una variante que busca tokens y llaves en servidores propios (self-hosted runners) usando Docker para acceder a los archivos del sistema.
Los investigadores advierten que, aunque los atacantes borren las ramas y los registros, la exposición de la información es permanente. Se ha observado que, tras el acceso a GitHub, los atacantes utilizan las credenciales obtenidas para intentar entrar a servicios de nube como AWS.
Qué significa para una pyme colombiana y cucuteña: Si su empresa usa GitHub para guardar código o configuraciones, revise urgentemente sus registros de auditoría. Busque cualquier actividad de procesos automáticos (workflows) que provengan de ramas con nombres tipo 'ci-sync-'. Si encuentra algo sospechoso, debe cambiar inmediatamente todas las contraseñas, claves de acceso a la nube (AWS, Azure, etc.) y tokens que estuvieran guardados en esos repositorios, ya que los atacantes podrían tener acceso total a su infraestructura.
#Ciberseguridad#Gheist#GitHub#EstadosUnidos#SynergyaTech
Fuente: Help Net Security
Compartir
Si le sirvió, pásela. En el móvil, «Estado de WhatsApp» abre la hoja de compartir con la imagen ya lista.