Un ladrón de secretos se cuela en 1.800 repos de GitHub

Un atacante ha usado credenciales robadas de 4.837 cuentas de GitHub para colar un ladrón de secretos en los repositorios donde esas cuentas tenían permiso de escritura. Así lo ha detectado la empresa de seguridad Aikido Security, según recoge The Hacker News. La campaña empezó el martes.

Qué hace el código malicioso

Según Aikido, el ladrón está diseñado para llevarse los secretos y las credenciales de nube a los que pueden acceder los flujos de integración continua (CI) de cada repositorio. Ha llegado a ejecutarse en al menos 1.806 repositorios, y en ellos el atacante probablemente ya ha recogido esas credenciales.

El daño no se queda en el código. Las credenciales que usan los flujos de CI suelen dar acceso a la infraestructura de nube de proyectos y empresas. Si el atacante las tiene, el problema pasa de un repositorio a los servidores y servicios que esas llaves abren.

Qué falta por saber

El material disponible es todavía escaso y deja varias preguntas abiertas:

• Cómo se robaron las credenciales de las casi 5.000 cuentas.
• Qué repositorios están afectados y si hay entre ellos proyectos muy usados.
• Si GitHub ha reaccionado y cómo: bloqueo de cuentas, avisos a los afectados o retirada del código.
• Qué indicadores concretos permiten saber si un repositorio ha recibido el código malicioso.

Las fuentes no detallan por ahora pasos de mitigación. Si un repositorio con permisos de escritura compartidos ha ejecutado flujos de CI desde el martes, lo prudente es revisar los cambios recientes y tratar como expuestos los secretos a los que esos flujos tenían acceso, hasta que haya información más precisa.

Una sola puerta para todo

El ataque aprovecha algo que la comunidad del software libre conoce bien: buena parte de la cadena de suministro depende de una sola plataforma. Allí viven el código, los permisos y también las llaves que automatizan los despliegues. Cuando miles de cuentas caen a la vez, el golpe se reparte por todos los proyectos donde esas cuentas podían escribir.

Se actualizará la información a medida que Aikido, GitHub o los proyectos afectados den más detalles.

Fuente: The Hacker News