4,837 บัญชี GitHub, พูลรีเควสต์เดียว: ผู้ขโมยความลับ CI

ผู้โจมตีได้ยืมสิทธิ์เขียนจากบัญชี GitHub ที่ถูกบุกรุกจำนวน 4,837 บัญชี ทดสอบด้วย pull request ชื่อ 'docs: dependency audit notes' และรันโปรแกรมขโมยข้อมูลรับรองในรีโพซิทอรีอย่างน้อย 1,806 แห่ง ข้อมูลลับที่มันต้องการคือข้อมูลลับที่ CI ของคุณเก็บไว้อยู่แล้วพอดี

เริ่มตั้งแต่วันอังคาร ผู้โจมตีใช้ข้อมูลรับรองที่ถูกขโมยของบัญชี GitHub จำนวน 4,837 บัญชี เพื่อฝังมัลแวร์ขโมยความลับไว้ในรีโพซิทอรีที่บัญชีเหล่านั้นมีสิทธิ์เขียนได้ Aikido Security นับได้อย่างน้อย 1,806 รีโพซิทอรีที่มัลแวร์ขโมยความลับทำงานอยู่ ส่วน SafeDep ซึ่งวิเคราะห์แยกกัน นับได้ 8,093 รีโพซิทอรีที่ได้รับการคอมมิตที่เป็นอันตรายภายในช่วงเวลา 16 ชั่วโมง — เฉพาะสาขาเริ่มต้นของรีโพซิทอรีสาธารณะเท่านั้น ดังนั้นจำนวนจริงจึงสูงกว่านี้

วิธีการนี้ซ้ำซากแต่ได้ผล การโจมตีแต่ละครั้งเริ่มต้นด้วย pull request ที่มีชื่อเรื่องว่า docs: dependency audit notes ซึ่งเปิดจากแบรนช์ชื่อ wfx-docs โดยมีจุดประสงค์เพียงเพื่อทดสอบว่าบัญชีนั้นสามารถเขียนลงในรีโพซิทอรีได้หรือไม่ pull request ทดสอบเหล่านั้นปรากฏใน 61,764 รีโพซิทอรี

การเข้าถึงเป็นเวลาเก้านาทีก็เพียงพอแล้ว

ใน 7,309 รีโพซิทอรี ตัวขโมยข้อมูลถูกเพิ่มต่อท้ายเวิร์กโฟลว์ที่มีอยู่แล้ว ใน 771 รีโพซิทอรี มันมาในรูปแบบฮุก postinstall ของ npm — ซึ่งยังทำงานบนแล็ปท็อปของนักพัฒนาระหว่าง npm install ด้วย ผู้โจมตีมักย้อนคอมมิตภายในไม่กี่นาทีและลบบันทึกการรัน ซึ่งเป็นเหตุผลว่าการไม่มีหมายเลขการรันบนคอมมิตที่เป็นอันตรายเป็นตัวบ่งชี้ที่ดีกว่าสิ่งใดก็ตามที่ถูกทิ้งไว้เบื้องหลัง

สิ่งที่มันต้องใช้ และสิ่งที่มันทิ้งไว้เบื้องหลัง

ตัวขโมยข้อมูลเก็บรวบรวม secrets และ variables ของ GitHub Actions, GITHUB_TOKEN ของ workflow, โทเค็น OIDC และโทเค็นรันไทม์ของ Actions, คีย์สำหรับบริการ AI และไฟล์ข้อมูลรับรองสำหรับ AWS, Azure, GCP, Kubernetes, npm, PyPI และ SSH บน self-hosted runner มันยังอ่านข้อมูลรับรองคลาวด์จากเมทาดาทาของอินสแตนซ์ สถานะของ Docker และยูนิต systemd อีกด้วย

บางส่วนของมันถูกสร้างมาให้อยู่ได้นานกว่าการหมุนเวียน: มันสามารถเขียนนโยบายความเชื่อถือของบทบาท AWS ใหม่เพื่อเปิดบทบาทให้บัญชี AWS ใดก็ได้ และเพิ่มข้อมูลรับรองตัวตนแบบเฟดเดอเรตที่ขึ้นต้นด้วย wfx-ci- ให้กับแอปพลิเคชัน Azure AD เพื่อให้ repo ที่ถูกบุกรุกสามารถลงชื่อเข้าใช้ Azure ได้โดยไม่ต้องมีซีเคร็ตที่จัดเก็บไว้ นั่นคือเหตุผลว่าทำไมการตอบสนองจึงไม่ใช่ "หมุนเวียนโทเค็น" แต่เป็น "สมมติว่าทั้งเวิร์กโฟลว์ถูกควบคุมโดยผู้โจมตี"

โง่เง่า และป้องกันได้ทั้งหมด

ไม่มีอะไรที่นี่เป็น zero-day มันคือสิทธิ์เขียนบวกกับ workflow runner ซึ่งเป็นสองสิ่งที่ทุก repository มีอยู่แล้ว

คำแนะนำของ Aikido ชัดเจนไม่กำกวม: บัญชีใดก็ตามที่เปิด pull request ทดสอบรายการใดรายการหนึ่งถือว่าถูกบุกรุก แม้ว่าตัวขโมยข้อมูลจะไม่เคยทำงานก็ตาม ดังนั้นให้เพิกถอนโทเค็น สิทธิ์การอนุญาต OAuth คีย์ SSH และเซสชันของบัญชีนั้น เปิดใช้ 2FA และหมุนเวียนทุกความลับและตัวแปรที่รีโพซิทอรีสามารถอ่านได้ ใครก็ตามที่รัน npm install บนคอมมิตที่ได้รับผลกระทบควรถือว่าเครื่องนั้นถูกบุกรุกแล้ว

ABN Asia สร้างซอฟต์แวร์สำหรับองค์กรที่ไม่สามารถยอมให้ตัวเองกลายเป็นกรณีศึกษาได้ นั่นหมายถึงไฟล์เวิร์กโฟลว์ถูกตรวจทานเหมือนโค้ดโปรดักชัน ซีเคร็ตถูกจำกัดขอบเขตเฉพาะงานที่ต้องใช้ แทนที่จะครอบทั้งรีโพซิทอรี ข้อมูลรับรอง OIDC แบบอายุสั้นแทนคีย์คลาวด์แบบอายุยาว การปักหมุดเวอร์ชันและการตรวจทานทุก Dependency และการตรวจจับที่มีชื่อแนบมากับการแจ้งเตือน

คุณไม่ได้แค่ได้ซอฟต์แวร์ — คุณได้ซอฟต์แวร์ที่ปลอดภัย หาก CI ของคุณถือข้อมูลรับรองสำหรับสิ่งใดก็ตามที่สำคัญ พูดคุยกับเรา: [email protected]

The Hacker News, 12 พฤศจิกายน 2026, รายงานการวิเคราะห์โดย Aikido Security และ SafeDep

โปรดทราบว่าเวอร์ชันภาษาไทยได้รับการช่วยเหลือจาก AI ดังนั้นอาจมีข้อผิดพลาดเล็กน้อย

ผู้เขียน

Ai-Banking-NetworkSecurity (ABN), ABN ASIA ถูกก่อตั้งขึ้นโดยคนที่มีรากฐานลึกในวงการวิชาการ มีประสบการณ์การทำงานในสหรัฐอเมริกา ดัตช์ ฮังการี ญี่ปุ่น เกาหลีใต้ สิงคโปร์ และเวียดนาม ABN Asia เป็นที่เราพบกันของวิทยาลัยและเทคโนโลยี ด้วยโซลูชันขั้นสูงและบริการพัฒนาซอฟต์แวร์ที่มีความสามารถ เราช่วยธุรกิจเติบโตและเข้าสู่ฉากโลก ความมุ่งมั่นของเรา: ด่วนขึ้น ดีขึ้น น่าเชื่อถือมากขึ้น ในกรณีส่วนมาก: ราคาถูกด้วย

หากคุณต้องการบริการ IT การให้คำปรึกษาดิจิทัล โซลูชันซอฟต์แวร์ใช้ได้หรือหากคุณต้องการส่งคำขอข้อเสนอ (RFPs) อย่าลังเลที่จะติดต่อเรา คุณสามารถติดต่อเราได้ที่ [email protected] เราพร้อมช่วยเหลือคุณด้านทุกความต้องกรทางเทคโนโลยีของคุณทุกเมื่อ

© ABN ASIA