Cảnh báo an ninh chuỗi cung ứng

Chiến dịch Megalodon: Tấn công hàng loạt vào hơn 5.500 kho lưu trữ GitHub

Các nhà nghiên cứu bảo mật vừa công bố chi tiết về chiến dịch tấn công tự động mang tên Megalodon. Chỉ trong vòng 6 giờ, kẻ tấn công đã đẩy 5.718 commit độc hại vào 5.561 kho lưu trữ (repository) trên GitHub, nhắm trực tiếp vào các quy trình CI/CD để đánh cắp thông tin nhạy cảm.

Phương thức tấn công tinh vi

Kẻ tấn công sử dụng các tài khoản dùng một lần và giả mạo danh tính tác giả bằng các tên như build-bot, auto-ci, ci-bot, hoặc pipeline-bot. Chúng tiêm các luồng công việc GitHub Actions chứa mã thực thi Bash (mã hóa Base64) nhằm đánh cắp các dữ liệu bí mật từ môi trường CI/CD và gửi về máy chủ C2 tại địa chỉ 216.126.225[.]129:8443.

Các loại dữ liệu bị nhắm mục tiêu

Thông tin Cloud: AWS credentials, Google Cloud access tokens, Azure IMDS endpoints.

Mã truy cập: SSH private keys, API keys, JWTs, Database connection strings.

CI/CD Secrets: GitHub GITHUB_TOKEN, GitLab CI/CD tokens, Bitbucket tokens.

Cấu hình: Docker/Kubernetes config, .env files, service-account.json.

Biến thể mã độc và Tác động

Hai biến thể chính đã được quan sát: SysDiag (kích hoạt trên mỗi lần push/pull request) và Optimize-Build (chỉ kích hoạt thủ công qua workflow_dispatch để tránh bị phát hiện). Một khi chủ sở hữu kho lưu trữ hợp nhất (merge) các commit này, mã độc sẽ thực thi bên trong đường ống dẫn CI/CD, cho phép đánh cắp dữ liệu ở quy mô lớn.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO NHÀ PHÁT TRIỂN

Kiểm tra ngay các file YAML trong thư mục .github/workflows/ để tìm các đoạn mã Base64 lạ.
Thu hồi và cấp mới tất cả các Personal Access Tokens (PAT) và Deploy Keys nếu nghi ngờ bị lộ.
Chuyển sang sử dụng Trusted Publishing trên các nền tảng như npm để giảm sự phụ thuộc vào token tĩnh.
Vô hiệu hóa các commit từ những tác giả không xác định hoặc không nằm trong đội ngũ phát triển.

Nguồn tham khảo: The Hacker News, SafeDep, OX Security

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Chiến dịch Megalodon: Hơn 5.500 kho lưu trữ GitHub bị tấn công qua luồng CI/CD độc hại