Une vaste campagne de piratage frappe GitHub. Des milliers de comptes compromis ont servi à injecter un programme malveillant dans des projets logiciels pour voler les identifiants de leurs développeurs et les accès cloud des entreprises.
Les chercheurs en sécurité d'Aikido viennent de mettre au jour une vaste campagne de piratage visant GitHub, baptisée wfx-loot. Depuis le 10 novembre, des attaquants exploitent près de 5 000 comptes compromis pour cibler des dizaines de milliers de projets logiciels sur GitHub et tenter d'y déployer un programme voleur d'identifiants. Leur cible ? Les accès aux services cloud, les clés API et autres informations sensibles utilisées par les développeurs.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Près de 62 000 dépôts ciblés, plus de 1 800 pillés
D'après les chercheurs d'Aikido, les attaquants ont utilisé les identifiants de 4 837 comptes GitHub compromis pour passer au crible 61 764 dépôts. Parmi les comptes concernés figurent des profils liés à de grandes entreprises, à des organismes publics, dont l'administration française selon BleepingComputer, ainsi qu'à plusieurs projets open source. On ignore encore comment ces identifiants ont été obtenus.
Une fois connectés aux comptes compromis, les pirates ont commencé par soumettre des demandes de modification présentées comme de simples notes d'audit des dépendances logicielles, afin de vérifier leurs droits d'écriture sur les dépôts ciblés. Lorsqu'ils disposaient des autorisations nécessaires, ils ont injecté un script malveillant d'environ 1 500 lignes dans les automatisations de GitHub Actions, utilisées pour tester du code, compiler des applications ou publier de nouvelles versions. Dans d'autres cas, ils ont piégé les scripts d'installation npm pour déclencher le même programme, y compris sur les machines des développeurs.
Ces automatisations ayant parfois accès à des identifiants sensibles, le script a cherché à récupérer tout ce qui lui passait sous la main : jetons GitHub, clés d'authentification AWS, Azure et Google Cloud, mais aussi clés API de services d'IA. Il intégrait également des fonctions destinées à obtenir de nouveaux accès aux infrastructures cloud, voire à créer des identifiants permanents lorsque les permissions le permettaient. Les pirates espéraient ainsi conserver un accès aux systèmes compromis, même après le renouvellement des secrets volés.
Après avoir transmis les données récupérées à leurs serveurs, les attaquants ont annulé leurs modifications et supprimé les journaux d'exécution. L'opération de nettoyage a parfois pris moins d'une minute, compliquant la détection de l'intrusion. Au total, Aikido a confirmé l'exécution du script et le vol d'identifiants sur plus de 1 800 dépôts.
Comment savoir si son compte et ses dépôts GitHub ont été compromis ?
Malgré leurs précautions, les pirates ont laissé quelques indices derrière eux. Aikido a identifié plusieurs indicateurs de compromission : les branches nommées wfx-docs, les demandes de modification intitulées docs: dependency audit notes, utilisées au début de l'attaque, mais aussi les interruptions dans la numérotation des exécutions de GitHub Actions, qui peuvent trahir la suppression de journaux.
Si l'exécution du script est confirmée, tous les secrets auxquels il a pu accéder doivent être considérés comme compromis. Les jetons et clés d'authentification concernés doivent alors être révoqués ou renouvelés. Les équipes doivent également vérifier les infrastructures cloud pour repérer les éventuels identifiants ou autorisations ajoutés par les pirates, qui pourraient leur permettre de conserver leurs accès.
