CẢNH BÁO CHUỖI CUNG ỨNG

Một cuộc tấn công chuỗi cung ứng nghiêm trọng vừa được phát hiện nhắm vào các GitHub Actions phổ biến như actions-cool/issues-helper. Tin tặc đã điều hướng các tag phiên bản sang những 'imposter commit' chứa mã độc nhằm đánh cắp thông tin xác thực CI/CD từ bộ nhớ của runner.

Cơ chế tấn công Imposter Commit

Kỹ thuật này cho phép kẻ tấn công chèn mã độc vào dự án bằng cách tham chiếu đến một commit hoặc tag chỉ tồn tại trong một bản fork do chúng kiểm soát, thay vì kho lưu trữ gốc đáng tin cậy. Điều này giúp mã độc thực thi mà không cần qua quy trình kiểm duyệt Pull Request (PR) tiêu chuẩn.

Phương thức hoạt động

Tải xuống môi trường chạy Bun JavaScript.
Đọc bộ nhớ từ tiến trình Runner.Worker.
Trích xuất toàn bộ thông tin xác thực (credentials).

Dấu hiệu nhận biết

Các tag phiên bản trỏ về commit lạ.
Kết nối outbound đến t.m-kosche[.]com.
Liên quan đến chiến dịch Mini Shai-Hulud.

Phạm vi ảnh hưởng

Mọi workflow tham chiếu Action bằng phiên bản (ví dụ: @v1, @v2) đều bị ảnh hưởng và sẽ tải mã độc trong lần chạy tiếp theo. Hiện tại, GitHub đã tạm dừng quyền truy cập vào các repository bị xác định có vi phạm điều khoản dịch vụ liên quan đến chiến dịch này.

HÀNH ĐỘNG ỨNG CỨU KHẨN CẤP

Chốt chặn mã băm: Thay thế việc sử dụng tag phiên bản bằng mã băm SHA đầy đủ (Full Commit SHA) để đảm bảo tính bất biến của mã nguồn.
Thu hồi bí mật: Reset ngay lập tức các GitHub Secrets, API Keys và Token được sử dụng trong các pipeline có liên quan đến actions-cool.
Kiểm tra log: Rà soát lại lịch sử chạy workflow để tìm kiếm các dấu hiệu truy cập trái phép hoặc dữ liệu bị đẩy ra ngoài.

Nguồn tham khảo: The Hacker News

Liên hệ đội ngũ ứng cứu sự cố TMGS

Cảnh báo tấn công chuỗi cung ứng GitHub Actions đánh cắp thông tin xác thực CI/CD