Cảnh báo chuỗi cung ứng

Phát hiện chiến dịch tấn công GitHub Actions: Đánh cắp thông tin định danh qua Imposter Commit

Các nhà nghiên cứu bảo mật vừa phát hiện một cuộc tấn công chuỗi cung ứng nhắm vào các workflow GitHub Actions phổ biến. Kẻ tấn công đã thay đổi các thẻ (tags) phiên bản để điều hướng người dùng đến các commit độc hại, từ đó đánh cắp thông tin xác thực từ pipeline CI/CD.

Cơ chế tấn công 'Imposter Commit'

Kỹ thuật tấn công này cực kỳ tinh vi vì nó không xuất hiện trong lịch sử commit thông thường của kho lưu trữ. Thay vào đó, kẻ tấn công tận dụng các commit từ các bản phân nhánh (fork) do chúng kiểm soát để lừa hệ thống GitHub Actions thực thi mã độc.

Thành phần bị ảnh hưởng

actions-cool/issues-helper
actions-cool/maintain-one-comment
Các tag phiên bản cũ và mới

Hành vi độc hại

Tải xuống Bun JavaScript runtime
Trích xuất credential từ bộ nhớ Runner
Gửi dữ liệu về domain t.m-kosche[.]com

Mối liên hệ với Mini Shai-Hulud

Các phân tích cho thấy tên miền độc hại được sử dụng trong chiến dịch này trùng khớp với hạ tầng của nhóm **Mini Shai-Hulud**, kẻ đứng sau các vụ tấn công nhắm vào hệ sinh thái npm gần đây. Điều này cho thấy một nỗ lực quy mô lớn nhằm xâm nhập vào chuỗi cung ứng phần mềm toàn cầu.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO DOANH NGHIỆP

Ghim Full Commit SHA: Ngừng sử dụng các tag phiên bản (như @v1, @v2) và chuyển sang sử dụng mã băm SHA cố định cho tất cả GitHub Actions.
Kiểm tra Workflow: Rà soát ngay lập tức các file YAML trong thư mục .github/workflows để phát hiện các action thuộc tổ chức 'actions-cool'.
Thu hồi Credential: Nếu nghi ngờ pipeline đã chạy các phiên bản độc hại, hãy thu hồi và cấp mới toàn bộ Secret, Token và API Key liên quan.
Chặn kết nối: Cấu hình tường lửa hoặc proxy để chặn mọi truy cập đến domain t.m-kosche[.]com.

Nguồn tham khảo: The Hacker News, StepSecurity

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Tấn công chuỗi cung ứng GitHub Actions để đánh cắp thông tin định danh CI/CD