CẢNH BÁO CHUỖI CUNG ỨNG

Tóm tắt sự kiện: Các nhà nghiên cứu bảo mật vừa phát hiện chiến dịch tấn công tự động mang tên Megalodon. Trong vòng chỉ 6 giờ, kẻ tấn công đã đẩy 5.718 commit độc hại vào 5.561 kho mã nguồn (repository) trên GitHub, nhắm trực tiếp vào các quy trình CI/CD để đánh cắp bí mật hệ thống.

Cơ chế tấn công của Megalodon

Kẻ tấn công sử dụng các tài khoản rác và giả mạo danh tính của các công cụ tự động phổ biến như build-bot, auto-ci, ci-bot, và pipeline-bot. Chúng tiêm các luồng công việc (workflows) GitHub Actions chứa mã độc Bash được mã hóa Base64. Khi các workflow này được kích thực, chúng sẽ thu thập và gửi dữ liệu nhạy cảm về máy chủ điều khiển (C2) tại địa chỉ 216.126.225[.]129:8443.

Dữ liệu bị đánh cắp bao gồm:

Thông tin xác thực AWS, Google Cloud, Azure
Khóa riêng tư SSH (SSH Private Keys)
Cấu hình Docker và Kubernetes
Mã thông báo Vault và Terraform

Mục tiêu nhắm tới:

Biến môi trường CI/CD
API keys, Database strings, JWTs
GitHub/GitLab/Bitbucket Tokens
Tệp tin cấu hình .env, credentials.json

Hai biến thể mã độc nguy hiểm

Chiến dịch Megalodon triển khai hai phương thức tấn công chính để tối ưu hóa khả năng lây lan và ẩn mình:

SysDiag (Biến thể diện rộng): Tự động thêm workflow mới được kích hoạt mỗi khi có lệnh push hoặc pull request, đảm bảo thực thi trên mọi commit.
Optimize-Build (Biến thể mục tiêu): Chỉ kích hoạt qua workflow_dispatch, cho phép kẻ tấn công chạy workflow thủ công theo yêu cầu để tránh bị phát hiện sớm bởi các công cụ giám sát.

Mối liên hệ với mã độc đánh cắp thông tin (Infostealers)

Theo phân tích từ Hudson Rock, hơn 33% tài khoản bị ảnh hưởng có sự trùng khớp trực tiếp với các máy tính đã bị nhiễm mã độc Infostealer trước đó. Điều này cho thấy kẻ tấn công Megalodon không chỉ tấn công trực diện vào GitHub mà còn khai thác dữ liệu từ các thiết bị của nhà phát triển đã bị xâm nhập để lấy thông tin đăng nhập và khóa PAT (Personal Access Tokens).

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO DOANH NGHIỆP

✅ Kiểm tra lịch sử Commit: Rà soát các commit từ các định danh giả mạo như build-bot, auto-ci.
✅ Thu hồi Secret: Ngay lập tức thu hồi và cấp mới các Access Tokens, API Keys và thông tin xác thực đám mây.
✅ Cấu hình GitHub Actions: Giới hạn quyền của GITHUB_TOKEN và yêu cầu phê duyệt cho các workflow từ fork bên ngoài.
✅ Quét mã độc: Kiểm tra toàn bộ thiết bị của đội ngũ phát triển để loại bỏ Infostealer.

Nguồn tham khảo: The Hacker News, SafeDep, Hudson Rock

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Megalodon: Chiến dịch tấn công chuỗi cung ứng nhắm vào 5.500 kho mã nguồn GitHub