4.837 tài khoản GitHub, một pull request: Kẻ đánh cắp bí mật CI

Kẻ tấn công đã mượn quyền ghi từ 4.837 tài khoản GitHub bị xâm phạm, thử nghiệm bằng một pull request có tiêu đề 'docs: dependency audit notes', và chạy một trình đánh cắp thông tin xác thực trong ít nhất 1.806 kho lưu trữ. Những bí mật mà nó nhắm đến chính xác là những bí mật mà CI của bạn vốn đã nắm giữ.

Bắt đầu từ thứ Ba, một kẻ tấn công đã sử dụng thông tin đăng nhập bị đánh cắp của 4.837 tài khoản GitHub để cài một trình đánh cắp bí mật vào các kho lưu trữ mà những tài khoản đó có quyền ghi. Aikido Security đếm được ít nhất 1.806 kho lưu trữ nơi trình đánh cắp này đã chạy. SafeDep, phân tích độc lập, đếm được 8.093 kho lưu trữ nhận các commit độc hại trong cửa sổ 16 giờ — chỉ tính nhánh mặc định của các kho lưu trữ công khai, nên con số thực tế còn cao hơn.

Phương thức này đơn điệu và hiệu quả. Mỗi cuộc tấn công bắt đầu bằng một pull request có tiêu đề docs: dependency audit notes, được mở từ một nhánh có tên wfx-docs, chỉ nhằm kiểm tra xem tài khoản có thể ghi vào kho lưu trữ hay không. Những pull request thử nghiệm đó đã xuất hiện trong 61.764 kho lưu trữ.

Chín phút truy cập là đủ

Trong 7.309 kho lưu trữ, stealer đã được gắn vào một workflow hiện có. Trong 771 kho, nó đến dưới dạng hook postinstall của npm — thứ cũng thực thi trên máy tính xách tay của lập trình viên trong lúc chạy npm install. Kẻ tấn công thường hoàn nguyên commit trong vòng vài phút và xóa nhật ký chạy, đó là lý do việc thiếu số lần chạy trên commit độc hại là dấu hiệu tốt hơn bất kỳ dấu vết nào còn sót lại.

Những gì nó đã cần, và những gì nó để lại

Công cụ đánh cắp đã thu thập các secret và biến của GitHub Actions, GITHUB_TOKEN của workflow, token OIDC và token runtime của Actions, khóa cho các dịch vụ AI, cùng các tệp thông tin xác thực cho AWS, Azure, GCP, Kubernetes, npm, PyPI và SSH. Trên các runner self-hosted, nó cũng đọc thông tin xác thực đám mây từ metadata của instance, trạng thái Docker và các unit systemd.

Một số phần của nó được xây dựng để tồn tại lâu hơn một lần xoay vòng: nó có thể viết lại chính sách tin cậy của một vai trò AWS để mở vai trò đó cho bất kỳ tài khoản AWS nào, và thêm thông tin xác thực danh tính liên kết có tiền tố wfx-ci- vào các ứng dụng Azure AD, để một kho lưu trữ bị xâm phạm có thể đăng nhập vào Azure mà không cần bất kỳ bí mật nào được lưu trữ. Đó là lý do phản ứng không phải là "xoay vòng token" mà là "giả định toàn bộ quy trình làm việc đã bị kẻ tấn công kiểm soát".

Ngu ngốc, và hoàn toàn có thể phòng ngừa

Không có gì ở đây là zero-day. Đó là quyền ghi cộng với một trình chạy quy trình làm việc, hai thứ mà mọi kho lưu trữ đều đã có.

Lời khuyên của Aikido rất rõ ràng: bất kỳ tài khoản nào đã mở một trong các pull request thử nghiệm đều bị xâm phạm ngay cả khi phần mềm đánh cắp chưa từng chạy, vì vậy hãy thu hồi token, quyền cấp OAuth, khóa SSH và phiên của tài khoản đó, bật 2FA, và xoay vòng mọi secret và biến mà kho lưu trữ có thể đọc. Bất kỳ ai đã chạy npm install trên một commit bị ảnh hưởng nên coi máy đó là đã bị xâm phạm.

ABN Asia xây dựng phần mềm cho những tổ chức không thể cho phép mình trở thành bài học cảnh báo. Điều đó có nghĩa là các tệp workflow được rà soát như mã production, secret được giới hạn phạm vi cho đúng job cần dùng thay vì toàn bộ repository, thông tin xác thực OIDC ngắn hạn thay cho khóa cloud dài hạn, ghim phiên bản và rà soát trên mọi dependency, cùng khả năng phát hiện với cảnh báo gắn tên người chịu trách nhiệm.

Bạn không chỉ nhận được phần mềm — bạn nhận được phần mềm an toàn. Nếu CI của bạn đang giữ thông tin xác thực cho bất kỳ thứ gì quan trọng, hãy liên hệ với chúng tôi: [email protected].

Nguồn: The Hacker News, ngày 12 tháng 11 năm 2026, đưa tin về các phân tích của Aikido Security và SafeDep.

TÁC GIẢ

Về ABN Asia: Ai-Banking-NetworkSecurity (ABN), ABN Asia được thành lập từ năm 2012, là một công ty xuất phát từ học thuật, do những giảng viên, cựu du học sinh Hungary, Hà Lan, Nga, Đức, và Nhật Bản sáng lập. Chúng tôi chia sẻ đam mê chung và tầm nhìn vững chắc về công nghệ, mang đến sự đổi mới và chất lượng đỉnh cao cho khách hàng. Phương châm của chúng tôi là: Tốt hơn. Nhanh hơn. An toàn hơn. Trong nhiều trường hợp: Rẻ hơn.

Hãy liên hệ với chúng tôi khi Quý doanh nghiệp có các nhu cầu về dịch vụ công nghệ thông tin, tư vấn chuyển đổi số, tìm kiếm các giải pháp phần mềm phù hợp, hoặc nếu Quý doanh nghiệp có đấu thầu CNTT (RFP) để chúng tôi tham dự. Quý doanh nghiệp có thể liên hệ với chúng tôi qua địa chỉ email [email protected]. Chúng tôi sẵn lòng hỗ trợ với mọi nhu cầu công nghệ của Quý doanh nghiệp.

© ABN ASIA